IBM i 7.6 TR2 y 7.5 TR8: la actualización de julio trae menos RPG y más SQL, nube y cumplimiento

El pasado 24 de julio se liberaron las PTF de IBM i 7.6 TR2 y 7.5 TR8, el primer Technology Refresh de 2026. Llegó más tarde de lo habitual — normalmente cae en primavera — porque IBM prefirió esperar al anuncio del nuevo servidor de entrada Power S1112 antes de publicar un TR que le da soporte a ese hardware. No hay ninguna función que cambie las reglas del juego, y eso está bien: lo interesante de este TR es que casi todo lo que trae apunta en la misma dirección, la de un IBM i que se audita, se cifra y se migra con las mismas herramientas que usa cualquier otro sistema empresarial moderno.

CVE consultables con una sentencia SQL

Hasta ahora, saber si tu partición tenía alguna vulnerabilidad conocida pendiente significaba entrar a mano al IBM Product Security Central y buscar boletín por boletín. La nueva función de tabla CVE_INFO, en la librería SYSTOOLS, resuelve esto con una consulta:

SELECT SCORE, CVE_ID, SUMMARY, PUBLISH_DATE,
       IBMI_RELEASE, X_FORCE_URL
  FROM TABLE (SYSTOOLS.CVE_INFO())
 WHERE PUBLISH_DATE > CURRENT DATE - 1 MONTH
 ORDER BY SCORE, PUBLISH_DATE

El único parámetro es el release de IBM i (por defecto, el de la partición actual), y los datos vienen directamente del catálogo de MITRE con severidad, resumen y un enlace a X-Force para el detalle completo. Un matiz práctico: SCORE es un texto (Critical, High, Medium, Low), así que si lo ordenás directamente el resultado sale alfabético y no por gravedad real. La solución es una columna derivada con CASE que traduzca cada nivel a un número antes de ordenar. Es un detalle menor, pero es el tipo de fricción que separa una demo de una consulta que de verdad terminás guardando como vista y compartiendo con auditoría todos los meses.

Llaves propias para IBM i en la nube

La segunda pieza importante, exclusiva de 7.6 TR2, es Bring Your Own Key (BYOK) para los servicios criptográficos de IBM i, integrado con IBM Cloud Key Protect. En palabras de Tim Mullenbach, arquitecto de seguridad de IBM i en el anuncio: está pensado para quien corre su IBM i en la nube y tiene un requisito de cumplimiento que exige gestión externa de llaves — aunque también funciona on-prem.

Esto importa más de lo que parece a primera vista. Uno de los frenos habituales para mover una carga IBM i a PowerVS es que buena parte de los marcos de cumplimiento (SOC 2, PCI DSS, ciertos requisitos sectoriales) exigen que el cliente controle sus propias llaves de cifrado, no que confíe ciegamente en que el proveedor las gestiona bien. Con BYOK, esa objeción deja de ser un bloqueo binario y pasa a ser una decisión de arquitectura: podés seguir siendo dueño de tus llaves aunque los datos vivan en infraestructura de IBM. El mismo TR suma soporte de OAuth 2.0 para el servidor SMTP integrado, un requisito que Google y Microsoft 365 vienen exigiendo cada vez con más fuerza para aceptar autenticación de aplicaciones que envían correo — otro caso de IBM i alineándose con un estándar que ya es obligatorio en cualquier otro lado.

Migrar sin apagar nada, ahora con FlashCopy

Migrate While Active (MWA), la herramienta que permite mover una carga IBM i a PowerVS —o entre servidores on-prem— sin detener el sistema productivo, también recibe una mejora concreta: soporte para replicación basada en almacenamiento externo, incluyendo FlashCopy y Global Copy, además de la posibilidad de aprovechar la migración para hacer un upgrade de versión de sistema operativo al mismo tiempo. Kris Whitney, quien asumió como arquitecto jefe de IBM i tras Steve Will, lo resumió así: una vez que tenés la copia del sistema destino, MWA empieza a rastrear los cambios del lado origen, y desde ahí podés hacer el upgrade sobre el destino sin arriesgar la producción. Para quien está evaluando un salto a PowerVS este año, es una ventana operativa que antes no existía: migrar y actualizar de versión en el mismo movimiento, con el sistema origen corriendo todo el tiempo.

Lo que se ve, y lo que no, en la lista de novedades

El TR trae, además, diecisiete servicios nuevos entre SYSTOOLS y QSYS2 y mejoras a otros diez, entre ellos una función que merece mención aparte: CREATE_DATA_JOURNAL_READER. Cualquiera que haya intentado leer entradas de un diario de base de datos sabe que las imágenes de fila vienen en hexadecimal, difíciles de interpretar sin escribir un programa a medida. Esta función genera automáticamente un lector legible para cualquier tabla journaled, lo cual es una ganancia de tiempo real para quien depura problemas de integridad de datos o arma auditorías de cambios.

En Access Client Solutions (ahora en la versión 1.1.9.13) se agregaron ejemplos de SQL para el Error Logging Facility y, en la misma línea que CVE_INFO, más consultas pensadas para medir postura de seguridad: quién creó objetos en la raíz del IFS, qué directorios de primer nivel están expuestos, quién es dueño de qué directorio home. Navigator for i, por su parte, migró cientos de gráficos del Performance Data Investigator del viejo framework Dojo a Angular, y ahora soporta ver salidas de base de datos directamente en notebooks Jupyter — un guiño evidente a equipos que ya piensan en términos de ciencia de datos, no solo de reportes tradicionales.

Qué hacer con esto en tu shop

Si administrás una partición IBM i, hay tres cosas concretas para esta semana. Primero, aplicar el TR en un entorno de pruebas y correr la consulta de CVE_INFO cuanto antes: es gratis, no requiere licencia adicional, y te da una foto de exposición que hasta ahora tenías que armar a mano. Segundo, si tu organización ya está evaluando o ejecutando una migración a PowerVS, revisar si BYOK resuelve alguna objeción de cumplimiento que tenías pendiente — vale la pena una conversación con el equipo de seguridad antes de seguir avanzando con el plan de migración. Y tercero, si nunca usaste Migrate While Active, este TR es un buen momento para probarlo en un entorno no crítico: la combinación de migración sin downtime más upgrade de versión en el mismo proceso reduce bastante la fricción operativa que suele frenar estos proyectos.

Ninguna de estas tres cosas es glamorosa. Pero es exactamente el tipo de actualización que, sumada TR tras TR, termina explicando por qué un sistema de los años ochenta sigue corriendo cargas críticas en 2026: no porque no cambie, sino porque cambia en la dirección correcta y sin romper nada en el camino.