サードパーティのHomebrewタップ経由でソフトウェアをインストールする場合、プロジェクト外部の人物が書いたRubyコードがサンドボックスなしで実行されます。このリスクこそが、Homebrew 6.0.0の中心的な課題となっています。
タップの信頼性管理
Homebrewは、タップおよびタップ修飾フォーミュラやCaskについて、コードを評価・実行する前に信頼済みであることを必須とするようになりました。公式のHomebrewタップはデフォルトで信頼済みとして扱われます。brew tapコマンドには信頼管理オプションが追加され、リモートURLでタップを信頼できるようになりました。brew tap-infoでは信頼フィールドが表示されます。brew bundleコマンドはtrustedオプションを受け付け、brew bundle dumpは信頼済みエントリを記録します。
サンドボックスとセキュリティ修正
LinuxにはBubblewrapサンドボックスが追加され、macOSとの動作が統一されました。macOSではビルド・テスト・ポストインストールの各フェーズがすでにサンドボックス内で実行されています。LinuxのサンドボックスはDeveloper向けにデフォルトで有効となっています。今回のリリースに合わせて、セキュリティアドバイザリが3件公開されました。1件目はPOSTダウンロードストラテジーがHTTPSからHTTPへのリダイレクト保護を回避していた問題です。2件目はmacOSパッケージのポストインストールステップにおけるGitフックを通じたrootコード実行の問題です。3件目は/var/tmp内のユーザー制御可能なplistを信頼するmacOSインストーラーによって、ローカルの攻撃者がHomebrewの所有権を取得できる問題です。いずれも修正が施されました。
公式インターフェースの登場
BrewUIは、Homebrewの公式グラフィカルインターフェースです。現在も開発が続いており、一般提供はまだ先となっています。
「これまで多くの方々がHomebrewのGUIを求め、実際にさまざまなものを作ってきました。オープンソースで、メンテナンスが行き届いており、私たちの要件をすべて満たすものがないか探しましたが、見つからなかったため自分たちで開発することにしました。熟練ユーザーよりもどちらかといえば初心者向けですが、どちらにとっても使いやすいものになるよう設計されています」と、HomebrewプロジェクトリーダーのMike McQuaidがHelp Net Securityに語りました。
パフォーマンスとデフォルト設定の変更
内部JSON APIがデフォルトになりました。Homebrewのメタデータをまとめてダウンロードできるためファイルサイズが小さくなり、アップデートが高速化されるとともにネットワーク通信の頻度も減少します。このAPIは5.0.0以降、環境変数によってオプトイン方式で利用可能でしたが、その変数は現在非推奨となっています。起動時にもいくつかの改善が加えられ、brew leavesの実行速度は約30%向上し、アップグレード時のボトルタブ取得が並列化されました。
Homebrewユーザーアンケートの結果を受け、askモードが開発者向けのデフォルトになりました。これにより、brew installおよびbrew upgradeは変更を加える前に依存関係のサマリーと確認プロンプトを表示するようになりました。brew bundleコマンドはフォーミュラを並列インストールでき、デフォルトでジョブを自動実行します。また、npm、krew、Windows wingetのサポートも追加されました。
macOS 27とIntelサポートのタイムライン
HomebrewはGolden Gateという名称のmacOS 27への初期サポートを追加しました。このリリースではIntelサポートが廃止されます。2026年9月にはmacOS Intel x86_64がTier 3に降格し、継続的インテグレーションや新しいバイナリパッケージの提供が停止されます。2027年9月にはmacOS Intel x86_64が完全にサポート対象外となり、関連コードが削除される予定です。
翻訳元: https://www.helpnetsecurity.com/2026/06/18/homebrew-6-0-0-released/
