pfSense CE es la versión gratuita del popular sistema operativo orientado a firewall, la empresa Netgate ha anunciado el lanzamiento de la nueva versión pfSense CE 2.9.0 que trae importantes novedades. Esta nueva versión incluye más de 150 novedades entre nuevas funciones, mejoras y correciones. Una parte muy importante de esta actualización son las mejoras en la seguridad, debido a que se han detectado algunas vulnerabilidades, así como a corrección de errores que se han ido detectando con el paso de los meses de uso por parte de los usuarios. Si usas la versión anterior, os recomendamos revisar los cambios, realizar una copia de seguridad y actualizar a esta nueva versión que incorpora importantes cambios. Si quieres saber todo sobre esta nueva versión, a continuación tenéis todos los detalles.
Hace unos días Netgate anunció el lanzamiento de pfSense+ 26.07, la versión comercial y de pago de la solución de firewall, y faltaba muy poco tiempo para lanzar la nueva versión pfSense CE, y justo ayer anunciaron el lanzamiento oficial de la nueva versión que incorpora una grandísima cantidad de mejoras y corrección de errores (tanto de funcionamiento como fallos de seguridad).
Novedades importantes de la nueva versión
El servidor OpenSSH se ha actualizado a la versión 10.3p1, se han añadido cambios en los algoritmos del intercambio de claves, cifrado y la autenticación de los mensajes, ya que ahora han incorporado intercambio de claves post-cuánticos, además, han decidido eliminar los algoritmos antiguos que son menos seguros. La mayoría de clientes SSH, SCP y SFTP son compatibles, pero si usas un cliente muy antiguo y no compatible con la nueva suite de cifrados, no se conectará. También se ha actualizado la versión de OpenSSL a 3.5.7, esta nueva versión aumenta los requisitos de los certificados y elimina la compatibilidad con propiedades débiles. Por ejemplo, si intentamos configurar un certificado HTTPS de menos de 2048 bits para la interfaz gráfica de usuario, automáticamente el servicio nos devolverá un error indicando que la «clave es demasiado pequeña«.
Esta versión de pfSense comprobará el certificado de la interfaz gráfica durante el proceso de actualización, y generará un nuevo certificado si el actual no es válido, ha caducado o es débil. Otra característica importante es que tenemos renovación automática de los certificados TLS, ahora pfSense puede renovar los certificados de servidor TLS autofirmados, o bien firmados por una CA interna almacenada en la configuración del sistema operativo. La renovación automática se da como opción, aunque el certificado de la interfaz gráfica siempre se hará cuando sea posible. Cuando se renueva un certificado, se usarán las opciones de seguridad más recientes y estrictas.
pfSense CE 2.9.0 estrena una funcionalidad que también se ha incorporado en pfSense+, ahora tenemos la función de NAT de salida con restricción de puerto independiente del puerto final, es decir, la asignación de NAT en salida intentará conservar las asignaciones de puertos y dirección externa para los clientes que se comunican con varios hosts remotos a la vez, pero de forma dinámica, sin depender del NAT de puerto estática. Esta mejora está orientada a evitar problemas cuando varios clientes locales usan el mismo puerto de origen para conectarse al mismo host remoto.
El equipo de desarrollo de Netgate también ha lanzado importantes actualizaciones de seguridad para WireGuard, corrigiendo el fallo de seguridad CVE-2026-58085. También se han corregido otros errores como que se puede evadir la protección contra fuerza bruta y provocar un potencial DoS, varios XSS en diferentes menús de la interfaz gráfica de usuario, así como todos los bugs y de seguridad encontrados en FreeBSD que ahora se ha actualizado a FreeBSD 16-CURRENT, así como una actualización de PHP para la interfaz gráfica.
Otras mejoras que han incorporado en esta nueva versión son novedades en el portal cautivo con corrección de bugs, se ha cambiado el aviso de expiración de los certificados, el tiempo de vida como máximo será de 200 días (esto es una recomendación directa del CA/Browser Forum y al ecosistema de navegadores modernos), así como novedades en el servidor DHCP (tanto con IPv4 como con IPv6) con el popular Kea. Netgate ha actualizado el servidor DNS de Unbound a la versión 1.24.2 y ha corregido errores, también se han arreglado problemas en el DNS dinámico, monitorización del gateway, IPsec, OpenVPN y más.
Si usas el pfSense virtualizado, debes saber que ahora han incorporado la opción de desactivar ALTQ para VirtIO (interfaces llamadas vtnet), para mejorar la compatibilidad y evitar problemas. ALTQ es incompatible con el modo multiqueue del driver VirtIO vtnet, por lo que en entornos virtualizados se limita el rendimiento y la estabilidad de las interfaces de red. Ahora en el nuevo FreeBSD 16-CURRENT han introducido el parámetro «hw.vtnet.altq_disable» para desactivarlo.
Os recomendamos leer el listado completo de cambios en el blog de Netgate con pfSense CE 2.9.0, podréis ver en detalle todas las novedades, cambios y recomendaciones para actualizar con seguridad.
Proceso de actualización y recomendaciones
La actualización del sistema operativo es muy sencilla, nos aparecerá un aviso en el menú principal para proceder con la actualización. Antes de actualizar, os recomendamos hacer un snapshot y un backup de la máquina virtual, así como guardar el archivo de configuración en .XML desde el sistema operativo. Una vez hecho, nos vamos a «System / Update / System Update» y eliges el «Branch de pfSense 2.9.0» y pinchamos en aceptar para cambiar de rama y empezar la actualización.
Es una gran noticia que pfSense CE 2.9.0 haya incorporado tantas mejoras, aunque la nueva interfaz gráfica que tenemos disponible en la versión «Plus» no estará aquí, al menos, de momento. Como alternativas a pfSense, ahora mismo tienes OPNsense que es una alternativa estable y muy recomendable, muy pronto también tendremos nfSensei que es un sistema operativo que promete mucho, pero que todavía está en desarrollo en fase beta.