Fedora 45 chega com RPM 6.1, que bloqueia pacotes sem assinatura

O Fedora Linux 45 saiu em 3 de novembro de 2026, e sua ferramenta de pacotes agora se recusa a instalar qualquer coisa sem uma assinatura verificada. Isso afeta quem compila os próprios arquivos RPM ou baixa um do site de um fornecedor. Um comando que funcionava no Fedora 44 agora para com um erro.

O anúncio da Fedora Magazine promete "melhorias refinadas na área de trabalho, novos recursos poderosos no instalador e cadeias de ferramentas atualizadas". O lançamento atrasou duas vezes em relação à meta de 20 de outubro, informa o Linux Compatible. Cada atraso veio depois de uma votação "no-go", quando os testadores acharam um problema que bloqueava o lançamento.

O que mudou no RPM 6.1

O RPM é o formato de pacotes e o instalador do Fedora, do Red Hat Enterprise Linux e de seus parentes. Uma assinatura é um carimbo criptográfico. Ela prova quem compilou um pacote e que ninguém o alterou desde então.

O Fedora 45 "muda o modo padrão de verificação de pacotes do RPM 6.1 para a verificação obrigatória de assinaturas", escreve Jef Spaleta, líder do Projeto Fedora, no blog da Red Hat. A página da mudança no Fedora, sob responsabilidade de Panu Matilainen, diz de forma mais direta: "apenas pacotes com uma assinatura verificada podem ser instalados".

A mudança é uma única configuração, %_pkgverify_level. Ela passa de digest, que só verifica se o arquivo não está danificado, para all, que também exige uma assinatura válida. Segundo a página da mudança, um pacote assinado com uma chave que o sistema não importou também falha. O Fedora planejou a mudança primeiro junto com o RPM 6.0 e a adiou para o Fedora 45 "por motivos de tempo e de recursos".

Testado: um pacote sem assinatura no Fedora 44 e no 45

Em um teste do Tech AI Wire no macOS 26.6.2 com o Docker Desktop 28.4.0, as imagens de contêiner oficiais fedora:44 e fedora:45 rodaram o mesmo pacote de teste sem assinatura. As duas imagens foram compiladas em 2 de novembro para arm64. O pacote, taw-hello, foi compilado com rpmbuild dentro do Fedora 45 e não tem assinatura.

Verificação	Fedora 44	Fedora 45
rpm --version	6.0.2	6.1.0
rpm --eval "%_pkgverify_level"	digest	all
rpmkeys --checksig	"digests OK", código de saída 0	"digests SIGNATURES NOT OK", código de saída 1
rpm -i	instalado, código de saída 0	recusado, código de saída 1
rpm -i --nosignature	instalado	instalado
dnf install do arquivo local	instalado, com um aviso	instalado, com um aviso

No Fedora 45, um rpm -i simples mostrou uma linha e parou:

$ rpm -i /pkgs/taw-hello-1.0-1.noarch.rpm
	package taw-hello-1.0-1.noarch does not verify: no signature

O DNF, o gerenciador de pacotes de nível mais alto do Fedora, se comportou de outro jeito. Nas duas versões, o dnf install do arquivo local mostrou "Warning: skipped OpenPGP checks for 1 package from repository: @commandline" e o instalou. Ou seja, a nova regra atinge scripts e ferramentas que chamam o rpm diretamente, não um dnf install simples.

O teste também confirmou o caminho de volta para o sistema todo. Depois que a linha %_pkgverify_level digest foi gravada em /etc/rpm/macros.verify, o rpm -i do Fedora 45 voltou a instalar o pacote sem assinatura.

Quatro formas de instalar um pacote local agora

A página da mudança lista os caminhos suportados. Cada um serve para um caso diferente:

• Uma instalação avulsa: acrescentar --nosignature ao comando rpm, ou usar dnf install, que pulou a verificação no teste acima.
• Suas próprias compilações: o RPM 6.0 e versões posteriores podem assinar compilações locais automaticamente com uma chave sem senha. O Mock, a ferramenta do Fedora para ambientes de compilação limpos, tem um plugin de assinatura. O COPR, o serviço de compilação comunitário do Fedora, assina os pacotes por conta própria.
• Pacotes de um fornecedor: importar a chave de assinatura do fornecedor, para que a assinatura dele seja verificada. O DNF5 na versão 5.2.14.0 ou mais nova também pode desligar a verificação para um único repositório com gpgcheck=0.
• O sistema inteiro: a linha de macros.verify acima restaura o comportamento antigo. Ela também remove a proteção, então trate-a como último recurso.

Outras mudanças do Fedora 45 que podem quebrar scripts

Os mesmos contêineres consultaram em 4 de novembro os repositórios de pacotes do Fedora sobre as versões que cada edição oferece para arm64:

Pacote	Fedora 44	Fedora 45
Python	3.14.10	3.15.0
Go	1.26.10	1.27.3
LLVM	22.1.8	23.1.4
glibc	2.43	2.44
Perl	5.42.3	5.44.0
Podman	5.8.9	6.1.3
Servidor MySQL	8.4.10	9.7.2
Servidor MariaDB	11.8.8	12.3.2
pandas	2.3.3	3.0.6
GCC	16.2.1	16.2.1
Kernel Linux	7.2.15	7.2.15

O Fedora 45 ainda oferece o MySQL 8.4 como pacote separado, mysql8.4-server, na versão 8.4.11. Outras quatro mudanças podem quebrar instalações existentes:

• Arquivos de repositório movidos: na imagem do Fedora 45, /etc/yum.repos.d/ está vazio. Os arquivos de repositório do Fedora ficam em /usr/share/dnf5/repos.d/. O Linux Compatible avisa que scripts que usam os caminhos antigos vão quebrar.
• O Podman 6 abandona o slirp4netns, o cgroups v1 e o backend de banco de dados BoltDB, segundo a lista de mudanças do Fedora. O Linux Compatible recomenda migrar para o SQLite e usar --network=pasta.
• Depuração: o ptrace, o mecanismo do kernel que os depuradores usam, agora é restrito para usuários sem privilégios, segundo o post da Red Hat. Instalar os pacotes de depuração traz de volta o rastreamento normal.
• Dois plugins de VPN aposentados: o NetworkManager-vpnc e o NetworkManager-fortisslvpn "ficarão obsoletos a partir do Fedora Linux 45", diz o anúncio.

A edição KDE passa para o Plasma 6.8, a versão que removeu a sessão X11. O Fedora 45 também substitui o console do kernel pelo kmscon, uma mudança que apareceu primeiro na versão beta.

O que isso significa para desenvolvedores

Antes de atualizar, procure nos scripts de compilação, nos Dockerfiles e nos jobs de CI as chamadas diretas a rpm -i em arquivos que sua equipe compila. São essas chamadas que agora falham. Assinar os pacotes internos é a solução duradoura. Acrescentar --nosignature em todo lugar traz de volta o risco que a mudança elimina.

Verifique qualquer ferramenta de configuração que grave ou edite arquivos em /etc/yum.repos.d/. Teste o código com o Python 3.15 e o pandas 3 antes de migrar os jobs de dados. Planeje o salto para o MySQL 9.7 ou fixe o mysql8.4-server. Um teste em contêineres cobre só as ferramentas de pacotes. Ele não inicia a área de trabalho, o console nem o kernel.

Quem usa o Fedora 44 atualiza com sudo dnf upgrade --refresh, depois sudo dnf system-upgrade download --releasever=45 e sudo dnf offline reboot, segundo o Linux Compatible. O Fedora 45 recebe atualizações até 8 de dezembro de 2027, a data que consta no seu próprio arquivo /etc/os-release.