Homebrew 6.0.0: zorunlu tap güveni, Linux sandbox ve varsayılan ask modu

Homebrew 6.0.0, 11 Haziran 2026'da yayımlandı ve ana başlığı güvenlik: üçüncü taraf tap'ler artık Ruby kodları değerlendirilmeden veya çalıştırılmadan önce açıkça güvenilir olarak işaretlenmek zorunda. 5.1.0'dan bu yana ilk büyük sürüm olan 6.0.0 ayrıca kompakt dahili JSON API'yi varsayılan hale getiriyor, Linux'a sandbox getiriyor ve günlük komutları onay isteyen "ask" moduna taşıyor.

Tap güveni zorunlu hale geliyor

Duyuru riski açıkça tanımlıyor: üçüncü taraf bir tap, kurulduğu makinede çalışan, sandbox dışı, keyfi Ruby kodu içerebilir. Homebrew artık tap'lerin ve tap nitelikli formül ile cask'ların, kodları çalışmadan önce güvenilir olmasını şart koşuyor; resmi tap'ler varsayılan olarak güvenilir kalıyor. Güvenilmeyen tap'ler önceden işaretleniyor, otomatik eklenmeleri kapatıldı, allow, forbid ve trust listeleri remote'lara sabitlendi. brew tap güven yönetimi komutları kazandı, brew trust --json=v1 destekliyor, brew tap-info trusted alanını gösteriyor ve brew bundle trusted: seçeneğini dikkate alıyor.

Daha hızlı güncellemeler, Linux sandbox ve varsayılan ask modu

Tüm Homebrew üst verisini tek indirmeye toplayarak brew'ün daha hızlı güncellenmesini ve ağa daha az başvurmasını sağlayan dahili JSON API artık varsayılan; 5.0.0'dan beri onu etkinleştiren HOMEBREW_USE_INTERNAL_API değişkeni ise kullanımdan kaldırıldı. Linux'ta build, test ve postinstall aşamaları artık macOS'ta olduğu gibi Bubblewrap sandbox içinde çalışıyor. Projenin kullanıcı anketinin ardından ask modu geliştiriciler için varsayılan oldu; brew install ve brew upgrade bağımlılık özetini gösterip onay bekliyor.

Intel Mac'ler sahneden çekiliyor

Sürüm, Intel desteğini bırakan macOS 27 (Golden Gate) için ilk desteği ekliyor; bu yüzden destek kademeleri değişiyor: Eylül 2026'da macOS Intel x86_64, CI desteği ve yeni bottle üretimi olmadan Tier 3'e geçiyor; Eylül 2027'de Intel macOS tamamen desteklenmeyecek ve ilgili kod silinecek. Linux'ta Ubuntu 24.04 CI geçişi taban çizgisini glibc 2.39'a çıkardı; daha eski glibc kullanan sistemler, örneğin Ubuntu 22.04, Tier 2'ye indi. Ruby arayüzünün parçalarını Rust'a taşıma denemesi brew-rs sona erdi: avantaj yalnızca dar ve önbellekteki bottle indirmelerinde görüldü, bu yüzden performans çalışması Ruby'ye döndü.

Güvenlik düzeltmeleri ve tedarik zinciri

Sürümle birlikte üç güvenlik bildirimi yayımlandı: HTTPS'ten HTTP'ye yönlendirme korumasını atlayan POST indirme stratejisi kusuru; macOS .pkg postinstall içindeki Git hook'ları üzerinden root düzeyinde kod çalıştırma; ve kullanıcı denetimindeki /var/tmp plist dosyasına güvenen kurulum paketi. Üçü de düzeltildi. Homebrew artık Ruby değerlendirmesi sırasında hassas ortam değişkenlerini süzüyor, HOMEBREW_CASK_OPTS_REQUIRE_SHA ile cask'lar için sağlama toplamı isteyebiliyor ve Bundler, RubyGems, npm ile PyPI kaynakları için indirme bekleme süreleri ekledi. Yeni komutlar arasında npx benzeri brew exec ve kurulu paketleri bilinen güvenlik açıklarına karşı denetleyen brew vulns var.