diff --git a/recipes/xorriso.toml b/recipes/xorriso.toml
new file mode 100644
index 00000000..4dcd63ff
--- /dev/null
+++ b/recipes/xorriso.toml
@@ -0,0 +1,48 @@
+# GNU xorriso 1.5.8 — creador de imágenes ISO 9660 / El Torito desde fuente (Etapa E5, herramental).
+#
+# E5 (medio de arranque live) necesita escribir un sistema de ficheros ISO 9660 con boot El Torito +
+# MBR isohybrid. El host NO trae `xorriso` (y `grub-mkrescue` lo EXIGE), así que —fiel a la soberanía
+# del bootstrap— se construye desde fuente con hammer en vez de `apk add`. xorriso es el tarball GNU
+# que EMPAQUETA libburn + libisofs + libisoburn en un solo árbol ⇒ un único binario `xorriso` (+ sus
+# personalidades `xorrisofs` mkisofs-compatible y `xorrecord`). `scripts/iso-image.sh` lo invoca para
+# armar el ISO reusando la cadena GRUB BIOS de la Etapa E1 (install-image.sh) para el El Torito.
+#
+# DE-ALPINIZADO: build vainilla del tarball GNU (ftp.gnu.org), sin parches de distro. Es HERRAMENTAL
+# del release engineering (corre en el builder para fabricar el medio), no un input del 4/4 (of_tree)
+# ni del userland del producto ⇒ el criterio es "construye y arma un ISO booteable", no byte-a-byte.
+#
+# SIN DEPS: se DESACTIVAN todas las libs opcionales ⇒ binario autocontenido (sólo libc):
+#   --disable-libreadline/--disable-libedit  modo diálogo interactivo innecesario (uso batch)
+#   --disable-libacl/--disable-xattr         ACL/xattr del ISO innecesarios para un medio booteable;
+#                                            además esquiva libacl/libattr (.so del devfs Alpine)
+#   --disable-zlib                           zisofs (compresión) innecesaria; y ESQUIVA la trampa
+#                                            `zig cc -static -lz` que prefiere el libz.so del devfs
+#                                            (ver openssh.toml) ⇒ sin dep zlib, sin gotcha
+#   --disable-libbz2                         jigdo/bz2 innecesario
+#   --disable-libcdio                        (off por defecto) sin adaptador de sistema cdio
+#
+# COMPILADOR: zig cc con zig 0.13.0 (NO 0.14+). Igual que openssh/openssl/binutils: zig 0.14+
+# MISCOMPILA musl (regresión 0.14, bisect con flex); 0.13.0 la esquiva.
+#
+# GOTCHA ZIG -static + libc NATIVO (idéntico a openssh): el sandbox exporta CC="zig cc -mcpu=baseline"
+# SIN `-target` ⇒ zig nativo, y `zig cc -static` nativo enlaza el libc.so del SISTEMA igual. Override
+# CC con `-target x86_64-linux-musl` ⇒ usa el musl bundle de zig en modo estático ⇒ binario 100%
+# estático (sin interpreter, sin NEEDED). LDFLAGS=-static cierra el enlace.
+
+name    = "xorriso"
+version = "1.5.8"
+
+[source]
+tarball = "https://ftp.gnu.org/gnu/xorriso/xorriso-1.5.8.tar.gz"
+sha256  = "319e3675cd7d986bf71d36596ca7b03dac172a758462bedcbbd298a7f86f36cc"
+
+[build]
+compiler    = "zig-cc"
+target      = "x86_64-linux-musl"
+link        = "static"
+zig_version = "0.13.0"
+
+[build.phases]
+configure = "./configure --prefix=/usr --disable-libreadline --disable-libedit --disable-libacl --disable-xattr --disable-zlib --disable-libbz2 --disable-libcdio CC='zig cc -mcpu=baseline -target x86_64-linux-musl' LDFLAGS=-static"
+compile   = "make -j\"$(nproc)\""
+install   = "make install DESTDIR=/out"