Le projet Homebrew a publié la version 7.0.0 le 14 septembre 2026, en introduisant un ensemble de changements qui vont au-delà des améliorations habituelles de la gestion des paquets. Cette version comprend un analyseur de vulnérabilités intégré, des contrôles renforcés pour l’isolation des processus d’installation et une base de données d’avis de sécurité au format OSV, ainsi que la sortie complète de l’interface graphique native BrewUI sur macOS 26 Tahoe et les versions ultérieures.
Homebrew est largement utilisé sur macOS pour installer des logiciels et gérer leurs dépendances, à la manière des gestionnaires de paquets des systèmes Linux. Son écosystème comprend les « formulae », qui définissent les paquets construits en Ruby, ainsi que les « casks », utilisés pour installer des applications, des polices, des extensions et d’autres logiciels macOS.
L’analyse des vulnérabilités devient une fonctionnalité du gestionnaire de paquets
Cette version introduit une nouvelle commande appelée brew vulns pour analyser les formulae installées, une formula spécifique, ou les formulae et leurs dépendances déclarées dans un fichier Brewfile. Pour chaque formula, Homebrew identifie le dépôt du logiciel source ainsi que le numéro de version ou le tag qui lui est associé. Pour les paquets installés, il s’appuie sur les informations disponibles dans une nomenclature logicielle (SBOM) ou extrait la source de la définition de la formula.
Homebrew envoie ensuite le dépôt source et le numéro de version ou le tag à OSV.dev dans le cadre d’une requête groupée, puis récupère les enregistrements de vulnérabilités et vérifie les correspondances potentielles, avec la prise en charge de filtres facultatifs selon le niveau de gravité. Il vérifie également si Homebrew a intégré un correctif de sécurité pour la formula concernée.
Une base de données des correctifs de Homebrew
La plateforme ajoute sa propre base de données d’avis de sécurité, qui enregistre les vulnérabilités affectant les versions et les révisions des formulae distribuées par Homebrew. Son importance tient à la possibilité de documenter les correctifs appliqués ou rétroportés vers une version antérieure du logiciel sans modifier le numéro de version upstream.
Homebrew publie ces résultats dans l’interface de programmation des formulae et dans un index d’avis téléchargeable, ce qui aide d’autres outils à distinguer les vulnérabilités encore présentes de celles qui ont déjà été corrigées. Les enregistrements de la base de données sont disponibles au format OSV et sous licence CC0, ce qui permet aux équipes de sécurité de les réutiliser.
Une meilleure isolation et une interface graphique native
Homebrew 7.0.0 interdit par défaut aux processus d’installation d’accéder aux répertoires personnels des utilisateurs et sépare le téléchargement des dépendances nécessitant le réseau des opérations d’installation hors ligne. Cette mesure intervient alors que le projet est parfois ciblé par des sites clonés et des leurres ClickFix destinés à diffuser des logiciels voleurs d’informations, selon le document source.
BrewUI permet quant à elle de parcourir et de rechercher des paquets, d’examiner leurs dépendances et de les gérer depuis une interface graphique native, mais elle n’est disponible que sur macOS 26 Tahoe et les versions ultérieures. Cette version ajoute également la possibilité de télécharger, de préparer et d’installer les paquets en parallèle, ce qui accélère les opérations d’installation et de mise à niveau selon Homebrew.
Pourquoi cette mise à jour est-elle importante ?
Cette version transfère une partie de l’analyse des risques liés à la chaîne d’approvisionnement logicielle directement dans le gestionnaire de paquets, au lieu de laisser l’utilisateur ou l’équipe de sécurité recueillir manuellement les informations sur les versions et les correctifs. L’efficacité des résultats reste liée à l’exactitude de la définition de la formula, des informations sur la source et des enregistrements OSV, tandis que la disponibilité de BrewUI est limitée aux versions récentes de macOS. Homebrew 7.0.0 fournit donc des outils de sécurité plus clairs, mais n’élimine pas la nécessité d’examiner les résultats de l’analyse et d’évaluer si le correctif annoncé s’applique à l’environnement utilisé.