Cómo actualizar el firmware en Linux de forma segura: BIOS, UEFI, dispositivos y LVFS explicados paso a paso

Actualizar el firmware en Linux es una tarea crítica que puede mejorar seguridad, estabilidad, compatibilidad de hardware y rendimiento. Pero también es una operación delicada: si se interrumpe una actualización de BIOS, UEFI, SSD, dock, controlador Thunderbolt o periférico, el equipo puede quedar inestable o incluso no arrancar.

La buena noticia es que Linux cuenta con una herramienta moderna para gestionar muchas de estas actualizaciones: fwupd, normalmente conectado al Linux Vendor Firmware Service, conocido como LVFS. El proyecto fwupd está configurado por defecto para descargar firmware desde LVFS en muchos sistemas, y permite revisar dispositivos, buscar actualizaciones y aplicarlas desde herramientas gráficas o desde la terminal con fwupdmgr.

1. Qué es el firmware y por qué importa

El firmware es el software interno que vive dentro de un componente de hardware. Puede estar en la placa madre, el sistema UEFI, una unidad SSD, una tarjeta Wi-Fi, un dock USB-C, un teclado, un mouse, una cámara, un lector de huellas, un controlador Thunderbolt o una tarjeta de red.

A diferencia de una aplicación normal, el firmware controla cómo se comporta el dispositivo desde un nivel muy bajo. Por eso, una actualización puede corregir fallos graves, cerrar vulnerabilidades, mejorar compatibilidad con Linux, solucionar problemas de suspensión, corregir errores de energía, mejorar estabilidad de USB-C o actualizar bases de datos de seguridad como Secure Boot dbx. El proyecto fwupd incluye documentación específica sobre actualizaciones UEFI y dbx distribuidas mediante LVFS.

2. Qué es fwupd

fwupd es un demonio de sistema que permite que software de sesión, herramientas gráficas o comandos administrativos actualicen firmware en la máquina local. Su utilidad de línea de comandos es fwupdmgr, pensada para consultar dispositivos, descargar metadatos, revisar actualizaciones disponibles e instalar firmware.

En escritorios Linux modernos, muchas actualizaciones de firmware pueden aparecer directamente en centros de software como GNOME Software, KDE Discover o herramientas específicas del fabricante/distribución. En servidores, estaciones remotas o equipos sin interfaz gráfica, el camino más práctico suele ser fwupdmgr por terminal o SSH.

3. Qué es LVFS y por qué es importante

LVFS, Linux Vendor Firmware Service, es un servicio donde fabricantes pueden subir firmware redistribuible para que usuarios de Linux lo reciban de forma integrada. La documentación de LVFS explica que fwupd puede consultar hardware compatible, conocer versiones instaladas y desplegar nuevas versiones, pero necesita metadatos de LVFS para saber qué actualizaciones existen.

LVFS no es simplemente un repositorio de descargas. Su diseño incorpora controles de seguridad, cuentas restringidas, autenticación de dos factores y espacios de nombres AppStream del lado servidor para impedir que un proveedor publique firmware para hardware de otro fabricante.

4. Antes de actualizar: checklist de seguridad

Actualizar firmware no debe hacerse por impulso. Antes de tocar BIOS, UEFI o firmware de dispositivos, asegúrate de que el equipo está preparado. Muchas actualizaciones requieren reinicio y algunas se aplican antes de que el sistema operativo arranque completamente. La documentación de fwupdmgr indica que, durante una actualización, el sistema puede pedir confirmación, actualizar dispositivos y luego reiniciar para desplegar cambios que requieren restart.

5. Instalar o verificar fwupd en Linux

En muchas distribuciones modernas, fwupd ya viene instalado o disponible desde repositorios oficiales. Ubuntu documenta fwupd como el demonio usado para realizar actualizaciones de firmware en diversos dispositivos, tanto dentro como fuera del sistema operativo.

# Debian / Ubuntu
sudo apt update
sudo apt install fwupd

# Fedora

sudo dnf install fwupd

# Arch Linux

sudo pacman -S fwupd

# Ver versión instalada

fwupdmgr --version

# Ver estado del servicio

systemctl status fwupd

El propio proyecto fwupd advierte que instalarlo mediante Snap o Flatpak puede ser útil para actualizar un dispositivo específico con una versión más nueva, pero no debería considerarse reemplazo del paquete del sistema proporcionado por la distribución.

6. Paso 1: listar dispositivos compatibles

El primer comando importante es fwupdmgr get-devices. Este comando muestra dispositivos detectados por fwupd, versiones de firmware, identificadores, protocolos, estado de actualización y, cuando corresponde, advertencias o requisitos. La documentación de fwupdmgr incluye funciones para consultar dispositivos y revisar actualizaciones disponibles.

fwupdmgr get-devices

En la salida puedes encontrar elementos como UEFI Device Firmware, System Firmware, SSD, USB hub, dock, fingerprint reader o dispositivos Thunderbolt. No todos los dispositivos del equipo necesariamente aparecerán; solo los compatibles con fwupd o detectables mediante los plugins correspondientes.

7. Paso 2: descargar metadatos desde LVFS

Antes de saber si hay actualizaciones, fwupd necesita metadatos recientes. En la mayoría de sistemas, fwupd está configurado para obtenerlos desde LVFS. El manual de fwupdmgr indica que la mayoría de usuarios que quieren actualizar todos los dispositivos pueden ejecutar fwupdmgr refresh y luego fwupdmgr update.

fwupdmgr refresh

En algunas distribuciones o instalaciones, la actualización de metadatos se realiza automáticamente mediante timers o herramientas gráficas. Fedora, por ejemplo, documentó el uso de fwupd-refresh para refrescar metadatos y mostrar cuándo hay actualizaciones aplicables, sin enviar información de hardware sin interacción del usuario.

8. Paso 3: revisar actualizaciones disponibles

Después de refrescar metadatos, revisa si existen actualizaciones. No aceptes automáticamente todo sin leer. Observa versión instalada, versión disponible, descripción, severidad, categoría, fecha, fabricante y advertencias.

fwupdmgr get-updates

El manual de fwupdmgr documenta get-updates como comando para mostrar actualizaciones disponibles para un dispositivo específico o para los dispositivos detectados.

9. Paso 4: aplicar actualización de firmware

Cuando ya revisaste el cambio y estás listo, ejecuta la actualización. Algunas actualizaciones se aplican en caliente; otras se programan para el siguiente reinicio; las de BIOS/UEFI suelen requerir reiniciar y entrar en una etapa especial de actualización antes de volver a Linux.

fwupdmgr update

Después de aceptar, sigue exactamente las instrucciones. No cierres la tapa del portátil, no suspendas, no desconectes un dock que se está actualizando y no cortes la energía. Si el firmware se programa para reinicio, deja que el sistema complete todo el ciclo.

10. Paso 5: reiniciar y confirmar resultado

Una vez aplicada la actualización, reinicia si el sistema lo solicita. Luego vuelve a Linux y verifica que la versión cambió correctamente. fwupd también permite reportar resultados exitosos o fallidos a LVFS; el proyecto fwupd señala que estos reportes son opcionales, pero útiles para administradores de LVFS y fabricantes porque ayudan a validar la eficacia del proceso de actualización.

fwupdmgr get-devices
fwupdmgr get-updates
journalctl -u fwupd --no-pager -n 100

Comprueba también que el equipo arranca correctamente, que Secure Boot sigue en el estado esperado, que el disco cifrado desbloquea sin problema, que Wi-Fi, Bluetooth, suspensión, pantallas externas y puertos USB funcionan como antes o mejor.

11. Actualizar BIOS y UEFI desde Linux

En equipos modernos, muchas actualizaciones de BIOS se realizan realmente mediante mecanismos UEFI, como UEFI UpdateCapsule. LVFS recomienda a fabricantes usar estándares conocidos como DFU o UEFI UpdateCapsule con ESRT, porque esto evita tener que escribir aplicaciones específicas para cada actualización.

En términos prácticos, cuando fwupd detecta “System Firmware” o “UEFI Device Firmware”, puede descargar la actualización, programarla y reiniciar para que el firmware del equipo aplique el cambio antes de regresar al sistema operativo.

12. Actualizar Secure Boot dbx

Algunas actualizaciones no son “BIOS” como tal, sino listas de revocación de Secure Boot, especialmente dbx, que bloquea binarios UEFI vulnerables o no confiables. fwupd documenta que LVFS distribuye actualizaciones dbx firmadas y que los usuarios las despliegan usando fwupd.

Estas actualizaciones pueden ser importantes para proteger la cadena de arranque, pero también pueden afectar sistemas con bootloaders antiguos, instalaciones dual boot o medios de rescate desactualizados. Antes de aplicar dbx, conviene asegurar que GRUB, shim, kernel, distribución y medios de recuperación estén actualizados.

13. Actualizar SSD, NVMe, docks y periféricos

fwupd no se limita a BIOS. Muchos fabricantes distribuyen firmware para dispositivos como docks, SSD, periféricos, controladores, lectores biométricos, cámaras o adaptadores. LVFS indica que fabricantes suben firmware redistribuible empaquetado en archivos estándar .cab junto con metadatos específicos para Linux.

El cuidado aquí es identificar bien el dispositivo. En docks o periféricos USB-C, no desconectes el dispositivo durante la actualización. En SSD o NVMe, respalda datos antes de actualizar, aunque el proceso esté diseñado para conservarlos.

# Información de dispositivos
fwupdmgr get-devices
lsusb
lspci
lsblk -o NAME,MODEL,SERIAL,SIZE,FSTYPE,MOUNTPOINTS

# Información de discos NVMe, si aplica

sudo nvme list 2>/dev/null

14. Verificar confianza y firmas en fwupd/LVFS

fwupd utiliza mecanismos de confianza para verificar si una actualización proviene de una fuente permitida. La documentación de fwupd explica que las claves en rutas como /etc/pki/fwupd y /etc/pki/fwupd-metadata se usan para confianza del sistema, especialmente para responder si una actualización proviene de un origen confiable.

Esto no significa que el usuario deba manipular esas claves en uso normal. Al contrario: en una estación o servidor estándar, lo más seguro es usar la configuración de la distribución y evitar importar remotos o firmware manuales salvo que exista una necesidad clara y documentación oficial.

15. Qué hacer si no aparece ninguna actualización

Que fwupd no muestre actualizaciones no significa necesariamente que tu equipo esté desactualizado. Puede significar que no hay firmware nuevo, que el dispositivo no está soportado, que el fabricante no publica en LVFS, que falta un plugin, que estás en una versión antigua de fwupd o que el hardware requiere otro método.

16. Método gráfico: GNOME Software, KDE Discover y herramientas de distribución

Muchos usuarios no necesitan usar terminal. En distribuciones con escritorio, las actualizaciones pueden aparecer en herramientas gráficas. Ubuntu contempla pruebas de actualización de firmware desde Ubuntu Software, GNOME Software y Canonical Firmware Updater dentro de su proceso de firmware.

El método gráfico es cómodo, pero la lógica de seguridad es la misma: leer la descripción, conectar energía, no interrumpir, reiniciar cuando corresponda y verificar después que el equipo funciona correctamente.

17. Firmware en servidores Linux

En servidores, el proceso debe ser más formal. No actualices firmware en horario productivo sin ventana de mantenimiento. Revisa compatibilidad con hipervisor, RAID, HBA, NIC, almacenamiento, iDRAC/iLO/IPMI, Secure Boot, arranque PXE y políticas de alta disponibilidad.

18. Errores comunes al actualizar firmware en Linux

19. Comandos esenciales de fwupdmgr

20. Preguntas clave

Recomendamos

En resumen

Actualizar firmware en Linux es más seguro y ordenado cuando se usa fwupd junto con LVFS. El flujo recomendado es simple: instalar o verificar fwupd, listar dispositivos, refrescar metadatos, revisar actualizaciones, leer notas, aplicar solo en condiciones seguras, reiniciar si corresponde y validar después del proceso.

No todo firmware estará disponible en LVFS, y no todo equipo debe actualizarse inmediatamente. La decisión debe basarse en seguridad, estabilidad, compatibilidad y criticidad del sistema. En laptops basta muchas veces con conectar energía y seguir el proceso; en servidores se requiere ventana de mantenimiento, consola remota, backup y validación formal.