Homebrew 6.0.0: обов'язкова довіра до tap-ів і пісочниця в Linux

Homebrew 6.0.0 вийшов 11 червня 2026 року, і його головна тема — безпека: сторонні tap-и тепер мають бути явно позначені як довірені, перш ніж їхній код на Ruby буде обчислений чи виконаний. Це перший великий випуск після 5.1.0; він також робить компактний внутрішній JSON API типовим, додає пісочницю в Linux і переводить щоденні команди в режим "ask" із підтвердженням.

Довіра до tap-ів стає обов'язковою

Анонс прямо називає ризик: сторонній tap може містити довільний код на Ruby без пісочниці, який виконується на машині, де його встановлюють. Тепер Homebrew вимагає, щоб tap-и, а також формули й cask-и з кваліфікованим tap-ом були довіреними до запуску їхнього коду, тоді як офіційні tap-и довірені за замовчуванням. Недовірені tap-и позначають заздалегідь, автоматичне додавання таких tap-ів вимкнено, а списки allow, forbid і trust прив'язані до remote-ів. brew tap отримує команди керування довірою, brew trust — прапорець --json=v1, brew tap-info — поле trusted, а brew bundle враховує опцію trusted:.

Швидші оновлення, пісочниця в Linux і режим ask за замовчуванням

Внутрішній JSON API, який збирає всі метадані Homebrew в одне завантаження, тож brew оновлюється швидше й менше звертається до мережі, став типовим; змінна HOMEBREW_USE_INTERNAL_API, що вмикала його з 5.0.0, застаріла. У Linux фази build, test і postinstall тепер виконуються в пісочниці Bubblewrap — так само, як у macOS. За результатами опитування користувачів режим ask став типовим для розробників: brew install і brew upgrade показують зведення залежностей і чекають підтвердження.

Intel-маки поступово виходять з гри

Версія 6.0.0 додає початкову підтримку macOS 27 (Golden Gate), яка відмовляється від Intel, тож рівні підтримки зміщуються: у вересні 2026 року macOS Intel x86_64 переходить до Tier 3 — без CI та нових bottle-ів; у вересні 2027 року Intel macOS стане повністю непідтримуваним, а відповідний код видалять. У Linux перехід CI на Ubuntu 24.04 підняв базову вимогу до glibc 2.39, тож системи зі старішим glibc, як-от Ubuntu 22.04, опинилися в Tier 2. Експеримент brew-rs із перенесенням частин фронтенду з Ruby на Rust завершено: перевага виявилася лише на вузьких, уже кешованих завантаженнях bottle-ів, тож оптимізацію повернули до Ruby.

Виправлення безпеки та ланцюг постачання

Разом із випуском опубліковано три бюлетені: вада стратегії завантаження POST, яка обходила захист від перенаправлення HTTPS→HTTP; виконання коду від root через Git-хуки в postinstall macOS .pkg; і інсталятор, що довіряв plist-у в /var/tmp, який контролював користувач. Усі три виправлено. Homebrew тепер фільтрує чутливі змінні середовища під час обчислення Ruby, може вимагати контрольні суми для cask-ів через HOMEBREW_CASK_OPTS_REQUIRE_SHA і додав затримки завантаження для джерел Bundler, RubyGems, npm та PyPI. Серед нових команд — brew exec, аналог npx, і brew vulns, яка перевіряє встановлені пакети на відомі вразливості.