Homebrew 6.0.0 es una versión amplia centrada en establecer un límite de seguridad más claro: el código procedente de un tap de terceros no debe evaluarse simplemente porque ese repositorio esté instalado. En el anuncio fechado el 11 de junio de 2026, su autor, Mike McQuaid, presenta la confianza en los taps como el cambio más importante de la versión. La fecha visible en la página principal coincide con la fecha de publicación suministrada, por lo que no es necesario corregirla.

El riesgo subyacente es específico. Los taps de Homebrew pueden contener fórmulas, casks y comandos externos, y cargarlos puede ejecutar código Ruby mientras Homebrew resuelve dependencias, descubre paquetes o ejecuta comandos. El proyecto indica que Homebrew 6.0.0 exige que los taps no oficiales y los elementos individuales pertinentes reciban confianza de forma explícita antes de evaluar ese código. Los taps oficiales de Homebrew y los comandos integrados siguen siendo de confianza de forma predeterminada.

La documentación sobre confianza en los taps suministrada con el paquete explica cómo está previsto que funcione el mecanismo. Un usuario puede conceder confianza a una fórmula, un cask o un comando concreto, o a un tap completo; en este último caso, acepta todo el código actual y futuro de ese repositorio. Los comandos que necesitan contenido que no es de confianza fallan hasta que se concede la confianza correspondiente, y `brew doctor` advierte sobre los taps no oficiales que aún no han recibido confianza. Se trata de un mecanismo de contención y consentimiento, no de una garantía de que el código de confianza sea inofensivo.

El anuncio indica que la versión también deja de añadir automáticamente taps para repositorios que no son de confianza, aplica comprobaciones de confianza al evaluar fórmulas y casks, y vincula las listas de confianza, permisos y prohibiciones a repositorios remotos. La documentación describe el mismo modelo predeterminado, pero ambos documentos proceden de los materiales del propio proyecto Homebrew. Corroboran la descripción que hace el proyecto de esta función, sin aportar una auditoría externa de seguridad ni demostrar que no quede ningún modo de omitir su implementación.

Homebrew también cambia la ruta de sus metadatos. El proyecto informa de que su API JSON interna es ahora el valor predeterminado y combina los metadatos en una sola descarga, de modo que las actualizaciones requieren menos solicitudes de red. La API estaba disponible mediante `HOMEBREW_USE_INTERNAL_API` desde Homebrew 5.0.0, y esa variable de entorno queda ahora obsoleta. La fuente suministrada no proporciona una metodología de evaluación comparativa ni cifras de ahorro medidas, por lo que la mejora del rendimiento debe entenderse como una afirmación del proyecto, no como un resultado universal.

Las operaciones con paquetes en Linux reciben otro cambio importante. Homebrew afirma que el aislamiento mediante Bubblewrap está activado de forma predeterminada para los desarrolladores en Linux y abarca las fases de compilación, prueba y postinstalación, de una forma más alineada con el comportamiento existente en macOS. El anuncio también describe código de aislamiento compartido, fases de instalación reforzadas, ganchos para ejecutables de casks y cambios relacionados en la integración continua. Los materiales no demuestran que todas las rutas de paquetes de Linux estén aisladas ni que el aislamiento elimine todo el riesgo de la cadena de suministro.

La versión también modifica las interacciones habituales de las personas usuarias. Siguiendo una encuesta realizada entre usuarios de Homebrew, el proyecto afirma que el modo de preguntas «ask» es ahora el valor predeterminado para los desarrolladores: `brew install` y `brew upgrade` muestran información sobre las dependencias y solicitan confirmación antes de realizar cambios. El anuncio describe solicitudes de confirmación agrupadas para las actualizaciones, confirmaciones con una sola tecla y resúmenes más claros. Por lo tanto, quienes automaticen cambios en los paquetes quizá deban ajustar flujos de trabajo que antes continuaban sin una confirmación interactiva.

Entre las demás novedades comunicadas se incluyen la instalación paralela de fórmulas en `brew bundle`, una compatibilidad más amplia con limpieza y extensiones, soporte de AppImage para casks de Linux, una nueva gestión de las rutas de servicios y un comando `brew exec` para entornos de fórmulas. Homebrew también informa de optimizaciones del arranque, un `brew leaves` más rápido, la obtención paralela de pestañas de botellas durante las actualizaciones y el soporte inicial de macOS 27, cuyo nombre en clave es Golden Gate. Estas son afirmaciones de las notas de la versión; el paquete no contiene pruebas independientes de compatibilidad ni resultados de rendimiento.

La advertencia de compatibilidad más concreta afecta a Linux. Homebrew afirma que su migración de la integración continua a Ubuntu 24.04 elevó el requisito mínimo del sistema para `glibc` a la versión 2.39. Los sistemas con bibliotecas anteriores, incluido Ubuntu 22.04 con `glibc` 2.35, se describen como de nivel 2: no reciben botellas nuevas y generan una advertencia de `brew doctor`. El anuncio recomienda la imagen Docker de Homebrew o una configuración de nivel 1, como Ubuntu 24.04; por tanto, las personas afectadas deberían verificar las versiones de su distribución y sus bibliotecas antes de actualizar.

El proyecto también describe una futura transición en macOS. Puesto que se indica que macOS 27 dejará de ser compatible con Intel, Homebrew prevé trasladar macOS para Intel x86_64 al nivel 3 en septiembre de 2026, sin soporte de integración continua ni botellas nuevas, y eliminar el código relacionado en septiembre de 2027. Estos son planes declarados, no pruebas de que todos los equipos Intel o paquetes de terceros vayan a seguir el mismo calendario práctico.

Por último, las notas de la versión identifican tres avisos de seguridad relacionados con redirecciones de descargas, ganchos de Git en el paquete del instalador de macOS y un plist controlado por el usuario que podría afectar a la propiedad de los paquetes. Homebrew afirma que los problemas se corrigieron y también informa de protecciones adicionales para variables de entorno sensibles y requisitos de suma de comprobación. Los documentos suministrados no incluyen demostraciones de explotación, una revisión independiente del código ni mediciones del impacto aguas abajo. La conclusión defendible es más limitada: Homebrew informa de que la versión 6.0.0 aborda vulnerabilidades específicas y añade nuevas defensas, mientras que las pruebas disponibles no permiten establecer la situación de seguridad completa de cada tap, paquete o entorno de instalación.