Homebrew dostał 13 września polecenie, którego dotąd nie miał: brew vulns sprawdza znane podatności w pakietach, które masz już zainstalowane na dysku. W tym samym wydaniu Maki na procesorach Intel przestały dostawać gotowe paczki, a wariant @master akcji projektu w GitHub Actions został usunięty bez przekierowania. Pierwsza zmiana daje realne narzędzie, którego wcześniej brakowało. Trzecia potrafi wywalić czyjś potok w chwili, gdy odpali się następny raz. Reszta wydania jest spokojniejsza, niż sugeruje długość notatek.
Czym jest Homebrew i co przynosi wydanie 7.0.0
Homebrew jest menedżerem pakietów dla macOS i Linuksa, prowadzonym przez wolontariuszy. Instaluje się nim narzędzia wiersza poleceń, biblioteki i aplikacje jedną komendą, bez szukania instalatorów po stronach producentów. Dla wielu programistów pracujących na Macu jest to jedna z pierwszych rzeczy, które stawia się na świeżym systemie.
Wydanie 7.0.0 opublikował 13 września 2026 Mike McQuaid, główny opiekun projektu. Poprzednia duża wersja, 6.0.0, wyszła 11 czerwca, więc odstęp wyniósł trzy miesiące.
Sam autor streszcza zmiany w notatkach wydania 7.0.0 jednym zdaniem. Szybsze instalacje i aktualizacje, mocniejsza piaskownica, natywna aplikacja na macOS, wbudowane sprawdzanie podatności z bazą ostrzeżeń. Do tego koniec wsparcia macOS 10.15 oraz zejście Intel Maków do Tier 3.
Żadnych ruchów nie trzeba wykonywać, żeby dostać nową wersję. Automatyczna aktualizacja podniesie ją sama, a kto ma ją wyłączoną, dostanie 7.0.0 przy następnym brew update. Zepsuć mogą się przy tym cztery rzeczy i wszystkie opisujemy niżej. Brak paczek dla Intela, brak paczek dla Sonomy, usunięty wariant @master w Actions oraz odrzucone bloki Ruby w oficjalnych tapach.
brew vulns szuka luk w tym, co już masz na dysku
Nowe polecenie skanuje zainstalowane formuły, czyli przepisy instalacyjne pakietów, i odpytuje o podatności publiczną bazę OSV.dev. Wcześniej wymagało to doinstalowania zewnętrznego repozytorium przepisów, nazywanego w Homebrew tapem, albo osobnego pakietu Ruby. Teraz skaner jest częścią samego narzędzia.
Ciekawsza jest jednak druga część tej zmiany. Projekt uruchomił własną bazę ostrzeżeń, wiążącą podatności z konkretnymi wersjami i rewizjami formuł, które sam dostarcza. Obejmuje to również poprawki przeniesione do starszych wydań. Publiczne bazy podatności widzą wersję wychodzącą od autora oprogramowania i nie wiedzą o łatce, którą opiekun formuły wstawił po drodze. Skaner odpytujący tylko taką bazę pokazywałby luki już naprawione.
Przełączniki są nastawione na pracę, a nie na oglądanie listy. --severity=high obcina szum, --deps wchodzi w zależności, a --brewfile sprawdza całe zadeklarowane środowisko. Do priorytetów służą --fix-available i --no-fix-available, do rozróżnienia typu poprawki --fix-type, a --list-skipped pokazuje dziury w pokryciu. Polecenie raportuje też, które tapy pominęło z powodu braku zaufania.
Wyniki idą dalej niż na ekran terminala. Projekt publikuje je w swoim API formuł i jako indeks do pobrania, w formacie OSV na licencji CC0. Zespół bezpieczeństwa w firmie może więc zbudować na tym własny pomiar, bez odpytywania cudzego serwisu.
Osiem ostrzeżeń bezpieczeństwa, jedno naprawione w tym wydaniu
Notatki wymieniają osiem luk z identyfikatorami GHSA i to jest liczba krążąca w relacjach. Rozkład wag i dat naprawy mówi jednak więcej, więc rozpiszmy go.
Jedna luka ma wagę wysoką. Niepodpisane dane opisujące odinstalowanie pakietu z aplikacją, nazywanego w Homebrew caskiem, pozwalały wykonać polecenia z uprawnieniami administratora. Została naprawiona w 6.0.12, czyli przed tym wydaniem, a cały podatny kod odzyskiwania usunięto.
Dwie luki mają wagę średnią i jedna z nich faktycznie jest łatana teraz. Złośliwy cask mógł wykonać kod poza piaskownicą instalacji, korzystając z systemowego mechanizmu uruchamiania aplikacji. Projekt ograniczył więc trzy rzeczy: samo uruchamianie aplikacji, wewnętrzne kanały komunikacji systemu macOS oraz połączenia po gniazdach Unix. Pozostałe pięć luk ma wagę niską i wszystkie naprawiono w wydaniach 6.0.6 oraz 6.0.7.
Z ośmiu pozycji tylko jedna jest więc nowością tego wydania. Reszta to podsumowanie pracy z gałęzi szóstej, zebrane w jednym miejscu.
Autorzy dopisują przy tym zastrzeżenie, które lepiej przeczytać dwa razy. Zaufanie do tapa pozostaje główną ochroną przed złośliwym caskiem, a piaskownica ogranicza głównie przypadkowe szkody. Cytat z notatek brzmi: “It cannot make untrusted software safe to run”. Aplikacje działają z uprawnieniami użytkownika, a instalatory .pkg od producentów chodzą poza piaskownicą i potrafią żądać sudo. Ta sama lekcja wraca zresztą regularnie przy zainfekowanych paczkach w npm.
Intel Maki i Sonoma 14 tracą gotowe paczki
Najbardziej odczuwalna zmiana dotyczy sprzętu. Intel macOS schodzi do Tier 3, co w praktyce znaczy koniec budowania nowych paczek binarnych. Istniejące zostają na serwerach, ale zaktualizowana formuła może od teraz wymagać kompilacji ze źródeł na własnej maszynie.
Granicę trzeba postawić dokładnie, bo relacje ją zacierają. Homebrew działa na Intelu do września 2027, tylko bez wsparcia projektu i bez rutynowego budowania paczek. Dopiero wtedy wypada z obsługiwanych platform, a jako alternatywę autorzy wskazują MacPorts.
Decyzja nie jest przy tym zaskoczeniem. Ogłoszono ją w sierpniu 2025 i powtórzono w notatkach wydania 5.0.0 z 12 listopada 2025. Uzasadnienie autorzy podają wprost. Apple wyrzuciło wsparcie Intela z macOS 27 Golden Gate, a GitHub Actions wycofa maszyny robocze na Intel macOS jesienią 2027. Zdanie z notatek jest gorzkie: jeśli Apple i GitHub nie są w stanie dalej utrzymywać tej architektury, wolontariusze też nie.
Obok tego stoi zmiana, o której w relacjach nie ma nic, choć dotyczy też Apple Silicon. macOS Sonoma 14 również schodzi do Tier 3 i traci nowe paczki. Na Apple Silicon wracają one od macOS Sequoia 15, razem z instalatorem .pkg. Na Intelu aktualizacja systemu tego nie zmieni, bo cała ta architektura siedzi już w Tier 3 niezależnie od wersji macOS. Osobno wypadło wsparcie dla macOS Catalina 10.15 i starszych, gdzie wymagane jest teraz Big Sur 11. W pełni wspierany, czyli w Tier 1 na Apple Silicon, jest zestaw Sequoia 15, Tahoe 26 i Golden Gate 27.
Drobiazg, który przy tym pomaga, siedzi w brew info. Polecenie rozróżnia teraz pakiety niemożliwe do zainstalowania, oznaczone znakiem ⊘, od zwyczajnie niezainstalowanych, oznaczonych ✘. Oznacza też niespełnione wymagania systemu i architektury, więc na starszym sprzęcie widać to przed rozpoczęciem instalacji.
Frontend Master 2026 · Kodożercy
Od pierwszej linijki kodu do deploy
Frontend Master 2026 to pakiet sześciu kursów Kodożerców z HTML, CSS, JavaScriptu i Git. Polskie wideo, prawdziwe projekty, fundamenty, dzięki którym przestajesz trafiać w ciemno.
Sprawdź pakiet →
@master w GitHub Actions zniknął bez przekierowania
To jest jedyna zmiana z tego wydania, która potrafi zepsuć czyjąś pracę dzisiaj. Odwołania do akcji projektu w postaci Homebrew/actions/*@master zostały usunięte i nie ma przekierowania. Potok, który je ma, przestanie działać przy następnym uruchomieniu. W zamian należy przypiąć konkretne wydanie w notacji CalVer albo pełny skrót SHA. Wariant @main nadal chodzi, ale autorzy zalecają migrację także z niego.
Drugą rzeczą do sprawdzenia w potokach jest obraz. ghcr.io/homebrew/ubuntu22.04 został usunięty, a następcą jest ghcr.io/homebrew/brew. Osobno gałąź Homebrew/brew master stała się zamrożonym rozruchem, z terminem usunięcia 1 marca 2027, więc skrypty rozruchowe wskazujące na nią trzeba przestawić na main.
Opiekunów tapów dotyczy jeszcze jedna zmiana ze skutkiem natychmiastowym. Bloki Ruby post_install w formułach i bloki *flight w caskach zostały uznane za przestarzałe na rzecz deklarowanych kroków *_steps. Oficjalne tapy odrzucają stary zapis już teraz, a tapy zewnętrzne dostają ostrzeżenia do 11 grudnia 2027. Typowe wywołania przerabia brew style --fix.
BrewUI na macOS i Landlock na Linuksie
BrewUI jest od tego wydania w pełni wydanym oficjalnym interfejsem graficznym. Instaluje się go poleceniem brew install homebrew-app i wymaga macOS Tahoe 26 albo nowszego. Okno pokazuje przeglądanie pakietów, wyszukiwanie i wersje zainstalowane, a przy każdej operacji wyświetla polecenie brew, które za nią stoi. To ostatnie jest sensownym wyborem projektowym, bo zamiast ukrywać narzędzie, uczy go przy okazji.
Po stronie Linuksa piaskownica przeszła z Bubblewrapa na Landlock. Bubblewrap wprowadziło wydanie 6.0.0 i wymagał zależności oraz podniesionych uprawnień Dockera, co psuło konfigurację w kontenerach. Landlock siedzi w jądrze i nie potrzebuje ani jednego, ani drugiego. Jądra bez Landlocka działają dalej, tylko bez piaskownicy, a brew doctor zgłasza wtedy brak ochrony jako ostrzeżenie. Wersję ABI podaje brew config, a zmienna HOMEBREW_SANDBOX_LINUX przestała działać.
Najczęstsze pytania
Mam MacBooka na Intelu. Czy Homebrew przestanie mi działać?
Nie teraz. Narzędzie chodzi na Intelu do września 2027 i dopiero wtedy wypada z obsługiwanych platform. Od tego wydania zmienia się natomiast sposób, w jaki dostajesz oprogramowanie. Paczki binarne, które już są na serwerach, zostają, ale nowe wersje formuł mogą wymagać kompilacji u ciebie. Praktyczny skutek to dłuższe instalacje i sporadyczne błędy budowania. Jeśli sprzęt ma służyć dłużej niż do jesieni 2027, autorzy wskazują MacPorts jako projekt z lepszym pokryciem paczek dla tej architektury.
Czy muszę coś zrobić, żeby dostać wydanie 7.0.0?
Nie, przyjdzie samo. Automatyczna aktualizacja podniesie wersję, a przy wyłączonej dostaniesz ją przy następnym brew update. Sprawdzić warto natomiast trzy rzeczy zaraz po aktualizacji. Czy twoje potoki w GitHub Actions nie wskazują na @master ani na obraz ubuntu22.04. Czy pracujesz na macOS Sonoma 14 albo starszym Intelu, bo wtedy ubywają gotowe paczki. Oraz czy twój własny tap nie używa bloków post_install i *flight, które oficjalne repozytoria już odrzucają.
Podsumowanie
Wydanie 7.0.0 daje jedną rzecz, na którą warto poświęcić kwadrans, i jedną, która potrafi zaskoczyć w najgorszym momencie. Pierwsza to brew vulns razem z własną bazą ostrzeżeń projektu, dzięki której skan widzi poprawki wstawiane przez opiekunów formuł, a nie tylko wersje od autorów oprogramowania. Druga to usunięty wariant @master akcji w GitHub Actions, bez przekierowania i ze skutkiem od zaraz. Z ośmiu ogłoszonych ostrzeżeń bezpieczeństwa tylko jedno naprawiono w tym wydaniu, a lukę o wysokiej wadze zamknięto już w 6.0.12. Zejście Intel Maków i macOS Sonoma 14 do Tier 3 odbiera gotowe paczki, a nie samo działanie narzędzia, które na Intelu chodzi do września 2027.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
