Fedora elimina los paquetes del escritorio Deepin después de detectar riesgos de seguridad

Fedora Linux decidió retirar oficialmente los paquetes del Deepin Desktop Environment (DDE) de sus repositorios después de una revisión realizada por el Fedora Engineering Steering Committee (FESCo). La medida refleja preocupaciones crecientes entre los mantenedores del sistema sobre seguridad, mantenimiento y la capacidad de respuesta del proyecto upstream.

Esto no significa que Deepin deje de funcionar en Fedora, pero sí que ya no forma parte del conjunto de paquetes mantenidos oficialmente. Si en el futuro se quiere reintroducir, tendría que pasar nuevamente por un proceso completo de revisión.

La decisión de Fedora

En mayo de 2026, FESCo votó de forma unánime retirar todos los paquetes relacionados con Deepin del repositorio oficial de Fedora. Además, el equipo de ingeniería de lanzamientos recibió la instrucción de no restaurar los paquetes a menos que superen una nueva revisión de seguridad y mantenimiento.

La decisión llegó después de una evaluación prolongada del estado de los paquetes Deepin dentro de Fedora. Entre los problemas identificados estaban:

• Preocupaciones de seguridad en componentes que interactúan con partes críticas del sistema
• Falta de mantenimiento consistente de los paquetes
• Dificultad para obtener respuestas oportunas de mantenedores o desarrolladores upstream ante fallos y vulnerabilidades

Para una distribución como Fedora, conocida por mantener estándares estrictos de empaquetado y seguridad, estos factores hicieron cada vez más complicado seguir distribuyendo Deepin como parte del sistema.

El problema con D‑Bus y Polkit

Uno de los puntos más sensibles fue la interacción de algunos componentes de Deepin con servicios privilegiados del sistema, especialmente D‑Bus y Polkit.

• D‑Bus es un sistema de comunicación entre aplicaciones y servicios del sistema.
• Polkit gestiona permisos para operaciones administrativas o sensibles.

Cuando software de escritorio interactúa con estos mecanismos, cualquier error de diseño o implementación puede permitir acceso indebido a funciones del sistema.

Revisiones de seguridad dentro del ecosistema Linux ya habían señalado problemas en módulos de Deepin que usan estas interfaces, incluyendo componentes que actúan como intermediarios entre aplicaciones y servicios del sistema. Este tipo de fallos puede tener impacto más amplio que un simple bug de interfaz gráfica.

Debido a que estas piezas operan cerca de los límites de privilegios del sistema, los problemas sin resolver se consideraron un riesgo elevado para paquetes distribuidos oficialmente.

El antecedente: openSUSE ya lo había eliminado

La decisión de Fedora no ocurrió en aislamiento. En 2025, openSUSE ya había retirado Deepin de sus repositorios después de una investigación de su equipo de seguridad.

Durante ese proceso se descubrió que el empaquetado de Deepin incluía una solución alternativa que evitaba los procesos estándar de revisión de seguridad del sistema RPM.

Ese mecanismo permitía instalar componentes que normalmente requerirían aprobación explícita del equipo de seguridad, incluidos:

• Archivos de servicios del sistema para D‑Bus
• Políticas de Polkit que controlan operaciones privilegiadas

Los revisores describieron este bypass como una violación significativa de las políticas de empaquetado y parte de un historial más amplio de problemas detectados en auditorías del código de Deepin.

openSUSE dejó abierta la posibilidad de reconsiderar el escritorio si el proyecto upstream solucionaba los problemas y presentaba versiones revisadas para evaluación. Sin embargo, revisiones posteriores indicaron que el progreso era limitado, por lo que la eliminación se mantuvo.

Estas conclusiones llevaron a desarrolladores de Fedora a revisar sus propios paquetes Deepin, lo que finalmente derivó en la votación para retirarlos.

Problemas de mantenimiento y comunicación

Más allá de las cuestiones puramente técnicas, Fedora también señaló problemas prácticos de mantenimiento.

Durante el proceso de revisión se reportó que resultaba difícil obtener respuestas de algunos mantenedores o desarrolladores del proyecto ante reportes de errores y preguntas de seguridad. Para las distribuciones Linux, que dependen de una colaboración constante con proyectos upstream, esa comunicación es clave para corregir vulnerabilidades y mantener los paquetes seguros.

Sin mantenimiento activo ni coordinación suficiente, seguir distribuyendo el software implicaba un riesgo creciente.

Qué significa para quienes usan Deepin

La eliminación de Deepin en Fedora y openSUSE no significa que el escritorio deje de existir ni que sea imposible usarlo. Lo que cambia es que ya no forma parte del software mantenido oficialmente por estas distribuciones.

Quienes quieran seguir utilizando Deepin tienen varias alternativas:

• Usar una distribución Linux que aún lo incluya oficialmente
• Instalarlo desde repositorios comunitarios o de terceros
• Compilar y empaquetar los componentes manualmente

El inconveniente es que, al salir de los repositorios oficiales, la responsabilidad sobre actualizaciones y seguridad recae más en el usuario.

Una señal sobre cómo operan las distribuciones Linux

El caso de Deepin muestra cómo las distribuciones equilibran la experiencia de usuario con los requisitos de seguridad y mantenimiento. Incluso un entorno de escritorio muy pulido visualmente debe cumplir con estándares estrictos de empaquetado, revisión de seguridad y soporte continuo.

En este caso, la combinación de problemas de seguridad potenciales, integración con servicios privilegiados del sistema y dificultades de mantenimiento llevó a que dos grandes distribuciones —openSUSE y Fedora— decidieran retirar Deepin de sus repositorios oficiales hasta que la situación cambie.