Homebrew 6.0.0は、より明確なセキュリティ境界の実現を中心とした包括的なリリースです。サードパーティ製タップのコードは、そのリポジトリがインストールされているだけで評価対象にすべきではありません。2026年6月11日付の発表で、著者のMike McQuaidは、タップの信頼設定をこのリリースで最も重要な変更点として紹介しています。メインページに表示されている日付は提供された公開日と一致しているため、日付の修正は不要です。

根本的なリスクは具体的に定義されています。Homebrewのタップにはフォーミュラ、キャスク、外部コマンドを含めることができ、それらを読み込むと、Homebrewが依存関係を解決する際、パッケージを検出する際、またはコマンドを実行する際に、Rubyコードが実行される可能性があります。プロジェクトによると、Homebrew 6.0.0では、そのコードを評価する前に、非公式タップと関連する個別項目を明示的に信頼する必要があります。公式Homebrewタップと組み込みコマンドは、引き続きデフォルトで信頼されます。

本資料に同梱された「Tap Trust」のドキュメントでは、この仕組みがどのように動作することを意図しているかが説明されています。ユーザーは特定のフォーミュラ、キャスク、コマンドを個別に信頼することも、タップ全体を信頼することもできます。後者を選択すると、そのリポジトリにある現在および将来のすべてのコードが信頼対象になります。信頼されていないコンテンツを必要とするコマンドは、適切な信頼が与えられるまで失敗し、`brew doctor`は信頼されていない非公式タップについて警告します。これはコードを封じ込め、同意を得るための仕組みであり、信頼されたコードが無害であることを保証するものではありません。

発表によると、このリリースでは信頼されていないリポジトリを自動的にタップすることも停止し、フォーミュラとキャスクを評価する際に信頼チェックを適用し、信頼、許可、禁止の各リストをリモートリポジトリに固定します。ドキュメントでも同じデフォルトモデルが説明されていますが、両方の文書はいずれもHomebrewプロジェクト自身による資料です。これらは機能についてプロジェクトが説明する内容を相互に裏付けるものの、外部のセキュリティ監査を提供するものでも、実装上の回避経路が残っていないことを実証するものでもありません。

Homebrewはメタデータの取得経路も変更します。プロジェクトによると、内部JSON APIがデフォルトとなり、メタデータを1回のダウンロードに統合することで、アップデートに必要なネットワーク要求を削減します。このAPIはHomebrew 5.0.0以降、`HOMEBREW_USE_INTERNAL_API`を有効にした場合のみ利用できましたが、この環境変数は非推奨となりました。提供された情報源にはベンチマークの手法や測定された削減量は示されていないため、パフォーマンスの向上は普遍的な結果ではなく、プロジェクトによる主張として理解すべきです。

Linuxでのパッケージ操作にも重要な変更が加えられます。Homebrewによると、BubblewrapサンドボックスがLinuxの開発者を対象にデフォルトで有効となり、既存のmacOSでの動作により近いかたちで、ビルド、テスト、インストール後の各段階をカバーします。発表では、サンドボックス用の共通コード、強化されたインストール段階、キャスクの実行可能ファイル用フック、関連する継続的インテグレーションの変更も説明されています。しかし、これらの資料から、Linuxパッケージのすべての経路が分離されること、あるいはサンドボックスによってサプライチェーン上のリスクがすべて除去されることは立証されません。

日常的なユーザー操作も変更されます。Homebrewのユーザー調査を受けた同プロジェクトによると、開発者を対象に「確認」モードがデフォルトとなり、`brew install`および`brew upgrade`が変更を行う前に依存関係の情報を表示して確認を求めます。発表では、グループ化されたアップグレードプロンプト、ワンキーでの確認、より明確な概要について説明されています。したがって、パッケージ変更を自動化しているユーザーは、対話形式の確認を必要とせずに以前実行されていたワークフローを調整する必要があるかもしれません。

その他の報告された追加機能には、`brew bundle`でのフォーミュラの並列インストール、クリーンアップ機能と拡張機能の拡大、Linux用キャスクのAppImage対応、新しいサービスパスの処理、フォーミュラ環境向けの`brew exec`コマンドが含まれます。また、Homebrewは起動処理の最適化、`brew leaves`の高速化、アップグレード時のボトルタブ取得の並列化、コードネームGolden Gateと呼ばれるmacOS 27の初期対応も報告しています。これらはリリースノートに記載された主張であり、本資料には独立した互換性テストやパフォーマンス結果は含まれていません。

最も具体的な互換性に関する警告はLinuxに関わるものです。Homebrewによると、Ubuntu 24.04への継続的インテグレーション移行に伴い、ベースラインとなるシステムの`glibc`要件がバージョン2.39に引き上げられました。より古いライブラリを使用するシステム、Ubuntu 22.04で`glibc` 2.35を使用する環境を含むはティア2に分類され、新しいボトルは提供されず、`brew doctor`が警告を表示します。発表はHomebrew DockerイメージまたはUbuntu 24.04などのティア1構成を推奨しているため、影響を受けるユーザーはアップグレード前にディストリビューションとライブラリのバージョンを確認すべきです。

プロジェクトは将来のmacOS移行についても概説しています。macOS 27ではIntel対応が廃止されると説明されているため、HomebrewはIntel x86_64版macOSを2026年9月にティア3へ移行し、継続的インテグレーションのサポートと新しいボトルを提供しない方針です。また、関連コードは2027年9月に削除する計画です。これらは表明された計画であり、すべてのIntel搭載マシンまたはサードパーティ製パッケージが実際に同じ時期に移行するという証拠ではありません。

最後に、リリースノートでは、ダウンロードのリダイレクト、macOSインストーラパッケージ内のGitフック、パッケージの所有権に影響する可能性のあるユーザー制御のplistに関する3件のセキュリティアドバイザリが特定されています。Homebrewは这些问题が修正済みであると説明し、機密性の高い環境変数とチェックサム要件をめぐる追加保護も報告しています。提供された文書には、悪用実演、独立したコードレビュー、下流環境への影響測定は含まれていません。防御的に導ける結論はより限定されます。Homebrewは6.0.0が特定の脆弱性に対処し、新しい防御機能を追加したと報告していますが、利用可能な証拠から、すべてのタップ、パッケージ、インストール環境における完全なセキュリティ態勢が立証されたわけではありません。