GNU Guix 1.5.0 volta após 3 anos, inaugura ciclo anual e reforça segurança

Depois de três anos sem uma versão “marco”, o projeto lançou o GNU Guix 1.5.0, com imagens ISO e de máquina virtual, além de tarballs para instalar o gerenciador de pacotes sobre outras distribuições GNU/Linux. Para quem já usa Guix, a atualização segue simples, via guix pull.

Destaques

• Retorno após 3 anos e estreia de um ciclo anual de lançamentos
• Migração coletiva para o Codeberg, com contribuições via pull requests
• Atualizações centrais como Linux-libre 6.17.12, GCC 15.2.0 e GNU Shepherd 1.0
• Segurança reforçada com daemon rootless por padrão em sistemas “externos” e correções de múltiplas CVEs
• Marco de confiança na cadeia de suprimentos com full-source bootstrap para Zig e Mono
• CLI mais potente, incluindo o novo comando guix locate

Retorno “triunfal” e novo processo de releases

O Guix sempre teve DNA de rolling release, com novidades chegando continuamente para quem atualiza com guix pull. O problema é que isso, na prática, acabou virando um gargalo para consolidar um release “oficial” com processo claro. O Guix 1.5.0 chega justamente como resposta a essa lacuna: ele marca a retomada após três anos e inaugura um processo de lançamento anual, criado para dar previsibilidade ao projeto e reduzir o risco de novos hiatos longos.

Nos bastidores, a mudança não é só de calendário. O projeto também adotou um processo formal de decisão por consenso, criando os Guix Consensus Documents (GCDs) para propor e aprovar mudanças significativas de forma mais estruturada.

Base técnica mais robusta: kernel, toolchain e init

Na camada mais “visível”, o Guix 1.5.0 consolida atualizações que colocam a distribuição no ritmo do ecossistema atual:

• Kernel padrão atualizado para Linux-libre 6.17.12
• Toolchain com GCC 15.2.0 e stack moderna em torno de LLVM 21.1.8
• Atualizações relevantes de aplicações e desktops, incluindo GNOME 46 e KDE Plasma 6.5
• Navegadores e editor com versões recentes, como Emacs 30.2, Icecat 140 e LibreWolf 140

No Guix System, um ponto particularmente relevante é a adoção do GNU Shepherd 1.0. Além de modernizar a base de serviços, essa versão adiciona capacidades como serviços temporizados e suporte a kexec para reboot, além de trazer novos serviços para logs e rotação que passam a ser usados no lugar de alternativas anteriores.

Segurança: daemon rootless por padrão e correções de CVEs

O avanço mais estratégico do release é a segurança “por construção”. O Guix agora permite operar o daemon sem privilégios de root, reduzindo o impacto de vulnerabilidades de escalonamento de privilégios.

Na prática, o modo rootless vira o padrão quando você instala o Guix 1.5.0 sobre distribuições que não são o Guix System (os chamados “foreign systems”). No Guix System, esse modo ainda exige habilitação explícita na configuração, ajustando (privileged? #f) em guix-configuration.

Esse desenho se apoia em user namespaces e, para reduzir fricção em ambientes com políticas restritivas, o projeto também passou a incluir perfis AppArmor instalados por padrão nesses sistemas externos.

Além disso, o daemon recebeu correções para as CVEs CVE-2024-27297, CVE-2024-52867, CVE-2025-46415, CVE-2025-46416 e CVE-2025-59378.

Confiança na cadeia de suprimentos: full-source bootstrap para Zig e Mono

O Guix tem uma proposta diferenciada quando o assunto é “confiança no build”: reduzir dependências de binários pré-compilados no caminho até construir os próprios compiladores, enfrentando o clássico problema do trusting trust.

No Guix 1.5.0, o projeto destaca a chegada de full-source bootstraps para os compiladores Zig e Mono. Traduzindo em impacto prático: isso fortalece a rastreabilidade e a auditabilidade do ecossistema, um ponto cada vez mais crítico na conversa moderna sobre supply chain de software.

CLI e empacotamento: SBOM, containers e novos formatos

Quem usa Guix como ferramenta em pipelines e ambientes de desenvolvimento também ganha novidades diretas:

• guix graph agora exporta em GraphML e CycloneDX JSON, ampliando o uso do Guix para gerar SBOM com granularidade profunda
• guix shell em containers evolui com --nesting (usar Guix dentro do container) e --emulate-fhs (rodar software que espera um layout FHS)
• guix pack recebe backends para RPM e AppImage, mirando distribuição de pacotes para usuários fora do Guix
• Chega o novo guix locate, pensado para responder rápido à pergunta “qual pacote fornece este arquivo?”

Migração para Codeberg e organização do ecossistema

No lado de colaboração, o projeto migrou repos, rastreadores e fluxo de contribuição para o Codeberg, consolidando tudo em um único lugar. O modelo também muda na prática: contribuições passam a ser feitas via pull requests, substituindo o formato tradicional de patch series.

O Guix também ganhou um agregador oficial de posts da comunidade, o Planet, acessível em planet.guix.gnu.org, reforçando a circulação de novidades e discussões técnicas do ecossistema.

Suporte a arquiteturas: RISC-V e avanços no GNU Hurd

O release amplia o alcance com tarballs para riscv64-linux. Em paralelo, há progresso no suporte experimental ao GNU Hurd em x86_64-gnu, incluindo melhorias gerais, opção no instalador e mecanismos para criar “childhurds” via serviço de sistema.

Como atualizar para o GNU Guix 1.5.0

• Se você já usa Guix (em qualquer sistema), o caminho padrão é executar guix pull e seguir o fluxo recomendado para atualizar perfis e, se aplicável, o sistema.
• Em instalações sobre outras distros (“foreign systems”), vale conferir o status do modo rootless e as permissões de user namespaces, já que o rootless passa a ser o padrão no Guix 1.5.0.
• No Guix System, para habilitar o daemon sem privilégios, ajuste (privileged? #f) em guix-configuration e reconfigure conforme seu fluxo de administração.

FAQ