Проект Homebrew выпустил версию 7.0.0 14 сентября 2026 года, представив ряд изменений, выходящих за рамки обычных улучшений управления пакетами. В выпуск вошли встроенный сканер уязвимостей, более строгие меры изоляции процессов установки и база данных рекомендаций в формате OSV, а также полноценный запуск нативного графического интерфейса BrewUI в macOS 26 Tahoe и более новых версиях.
Homebrew широко используется в macOS для установки программного обеспечения и управления его зависимостями, подобно менеджерам пакетов в системах Linux. В его экосистему входят так называемые «формулы» (formulae) для определения пакетов, создаваемых на Ruby, и «графические пакеты» (casks) для установки приложений, шрифтов, расширений и другого программного обеспечения macOS.
Сканирование уязвимостей стало частью менеджера пакетов
В выпуске появилась новая команда brew vulns для проверки установленных формул, конкретной формулы либо формул и их зависимостей, указанных в файле Brewfile. Homebrew определяет для каждой формулы репозиторий исходного кода и связанный с ней номер версии или тег. Для установленных пакетов он использует сведения из списка компонентов программного обеспечения (SBOM) либо извлекает источник из определения формулы.
Затем Homebrew отправляет репозиторий исходного кода и номер версии или тег в OSV.dev в рамках пакетного запроса, после чего получает записи об уязвимостях и проверяет возможные совпадения с поддержкой необязательных фильтров по уровню опасности. Также проверяется, добавил ли Homebrew исправление безопасности для соответствующей формулы.
База данных исправлений Homebrew
Платформа добавляет собственную базу данных рекомендаций, в которой регистрируются уязвимости, затрагивающие версии формул и их ревизии, распространяемые через Homebrew. Это важно, поскольку позволяет документировать исправления, применённые к программному обеспечению или перенесённые в более старую версию без изменения номера версии upstream.
Homebrew публикует эти результаты в API формул и в загружаемом индексе рекомендаций, помогая другим инструментам отличать уязвимости, которые всё ещё существуют, от уже устранённых. Записи базы данных доступны в формате OSV и под лицензией CC0, что позволяет командам безопасности повторно использовать их.
Улучшенная изоляция и нативный графический интерфейс
Homebrew 7.0.0 по умолчанию запрещает процессам установки доступ к домашним каталогам пользователей, а также отделяет загрузку зависимостей, требующих сети, от автономных процессов установки. Это происходит в проекте, который иногда становится целью атакующих, использующих сайты-клоны и приманки ClickFix для распространения программ, крадущих информацию, согласно исходному материалу.
BrewUI позволяет просматривать пакеты и искать их, проверять их зависимости и управлять ими из нативного графического интерфейса, однако доступен только в macOS 26 Tahoe и более новых версиях. Выпуск также добавляет возможность параллельно загружать, подготавливать и устанавливать пакеты, что, по данным Homebrew, ускоряет процессы установки и обновления.
Почему это обновление важно?
Выпуск переносит часть проверки рисков цепочки поставок программного обеспечения непосредственно в менеджер пакетов, вместо того чтобы оставлять пользователю или команде безопасности необходимость вручную собирать сведения о версиях и исправлениях. Эффективность результатов по-прежнему зависит от точности определения формулы, информации об источнике и записей OSV, а доступность BrewUI ограничена современными версиями macOS. Поэтому Homebrew 7.0.0 предоставляет более понятные инструменты безопасности, но не отменяет необходимости проверять результаты сканирования и оценивать, применимо ли заявленное исправление к используемой среде.