Homebrew 7.0.0 ra mắt: Cài đặt nhanh hơn, sandbox chặt hơn và ứng dụng macOS gốc

Homebrew, trình quản lý gói phổ biến nhất dành cho macOS và Linux, vừa chính thức phát hành phiên bản 7.0.0. Đây là bản cập nhật lớn với hàng loạt cải tiến về hiệu năng, bảo mật và trải nghiệm người dùng, đồng thời đánh dấu bước ngoặt quan trọng khi dự án bắt đầu rút lui khỏi nền tảng Intel Mac.

Hiệu năng: Cài đặt và nâng cấp nhanh hơn đáng kể

Điểm nhấn đầu tiên của Homebrew 7.0.0 là khả năng xử lý song song được mở rộng trên nhiều khâu: tải xuống, chuẩn bị và cài đặt.

• Lệnh brew install, brew reinstall và brew upgrade giờ đây chồng chéo quá trình chuẩn bị gói và tải xuống, kể cả với các lô brew bundle, giúp giảm thời gian chờ giữa các gói.
• brew config thu thập thông tin hệ thống độc lập cùng lúc thay vì chạy tuần tự từng tiến trình con.
• brew tap-info --installed --json=v1 gom metadata của các tap song song, rút ngắn thời gian khi phải kiểm tra Git hoặc mạng.
• brew fetch đọc trực tiếp thông tin tải xuống từ metadata API, bắt đầu tải mà không cần nạp toàn bộ định nghĩa gói chỉ để tìm URL và checksum.

Ngoài ra, Homebrew còn tái sử dụng dữ liệu API đã phân tích trong các lần chạy sau (vẫn xác minh chữ ký mỗi lần nạp), khởi động ít tiến trình con hơn và đọc trực tiếp kích thước terminal để tránh treo với uutils stty.

Bảo mật: Sandbox chặt hơn và cơ sở dữ liệu cảnh báo riêng

Homebrew 7.0.0 vá nhiều lỗ hổng bảo mật quan trọng, bao gồm một lỗi mức High (GHSA-rg9r-ppxp-87hm) đã được sửa ở bản 6.0.12, liên quan đến metadata gỡ cài đặt cask không được ký có thể thực thi lệnh với quyền sudo. Một lỗi mức Moderate khác (GHSA-5263-whxq-77hp) cho phép cask độc hại chạy mã ngoài sandbox cài đặt macOS thông qua LaunchServices.

Điểm đáng chú ý nhất về bảo mật là cơ sở dữ liệu cảnh báo (advisory database) hoàn toàn mới, tích hợp sẵn lệnh brew vulns. Công cụ này kiểm tra các lỗ hổng đã biết thông qua OSV.dev mà không cần thêm tap hay gem:

• Quét các formula đã cài đặt và báo cáo các tap không đáng tin bị bỏ qua.
• Các tùy chọn --severity=high, --deps, --brewfile cho phép kiểm tra có trọng tâm.
• Ưu tiên khắc phục bằng --fix-available và --no-fix-available.
• Dữ liệu ở định dạng OSV được phát hành theo giấy phép CC0, cho phép các nhóm bảo mật tái sử dụng tự do.

Homebrew cũng bắt đầu di chuyển việc tải xuống phụ thuộc vào một pha fetch riêng biệt: các formula đã chuyển đổi sẽ tải xuống với quyền truy cập mạng và cache ghi được, sau đó quá trình cài đặt sẽ tắt mạng và chuyển cache sang chỉ đọc. Việc đọc thư mục home trong sandbox mặc định bị chặn, giúp bảo vệ các tệp cá nhân không liên quan.

BrewUI: Ứng dụng macOS gốc đầu tiên

Homebrew 7.0.0 chính thức phát hành BrewUI, giao diện đồ họa chính thức đầu tiên của dự án dành cho macOS. Người dùng có thể cài đặt bằng lệnh:

brew install homebrew-app

BrewUI yêu cầu macOS Tahoe 26 trở lên, mang đến cửa sổ duy nhất để duyệt gói, tìm kiếm và xem chi tiết phiên bản đã cài. Điểm thú vị là ứng dụng hiển thị các lệnh brew thực tế đằng sau mỗi thao tác, giúp người dùng làm quen với dòng lệnh quen thuộc.

Giao diện ứng dụng BrewUI trên macOS

Intel Mac xuống Tier 3 và chấm dứt hỗ trợ macOS 10.15

Đây có lẽ là thay đổi gây nhiều tiếc nuối nhất. Từ tháng 9/2026, macOS Intel x86_64 chính thức chuyển sang Tier 3 — vẫn chạy được nhưng không còn được hỗ trợ chính thức hay build bottle định kỳ. Những bottle hiện có vẫn dùng được, nhưng các formula cập nhật có thể yêu cầu biên dịch từ mã nguồn.

Homebrew vẫn hoạt động trên Intel đến tháng 9/2027, sau đó dự án sẽ ngừng hỗ trợ hoàn toàn. Lý do được đội ngũ đưa ra rất rõ ràng: Apple đã loại bỏ hỗ trợ Intel x86_64 khỏi macOS 27 Golden Gate, còn GitHub Actions sẽ ngừng các runner macOS Intel vào mùa thu 2027. Khi hai trong số những công ty công nghệ lớn nhất thế giới không còn duy trì nền tảng này, một dự án tình nguyện như Homebrew cũng khó lòng thay thế.

Nếu Apple và GitHub của Microsoft — hai trong những công ty công nghệ lớn nhất thế giới — không thể tiếp tục hỗ trợ macOS Intel x86_64, thì Homebrew cũng đành vậy.

Người dùng Intel được khuyến nghị chuyển sang MacPorts, vốn vẫn hỗ trợ nền tảng này và có khả năng cho kết quả tốt hơn. Bên cạnh đó, macOS 10.15 Catalina và cũ hơn bị loại bỏ hoàn toàn, yêu cầu nâng cấp lên macOS 11 trở lên. Trình cài đặt .pkg giờ chỉ dành cho Apple Silicon và cần macOS Sequoia 15 trở lên.

Linux: Thay Bubblewrap bằng Landlock

Với người dùng Linux, Homebrew 7.0.0 thay thế Bubblewrap (ra mắt ở bản 6.0.0) bằng Landlock — cơ chế sandbox của kernel Linux không cần phụ thuộc hay quyền Docker nâng cao, vốn là nguyên nhân gây nhiều rắc rối khi thiết lập Bubblewrap.

Các kernel không hỗ trợ Landlock vẫn hoạt động nhưng không có sandbox Linux, và brew doctor sẽ báo cảnh báo. Homebrew hỗ trợ Landlock ABI 2 trên Linux 6.1, cảnh báo khi kernel không thể áp đặt hạn chế mạng.

Nhiều cải tiến khác cho lập trình viên và maintainer

Bản phát hành còn mang đến hàng loạt công cụ hữu ích:

• brew install --dry-run xem trước cả formula lẫn cask cùng lúc.
• brew info phân biệt gói không thể cài đặt (⊘) với gói chưa cài (✘), đánh dấu yêu cầu hệ điều hành và kiến trúc chưa đáp ứng.
• brew deps --brewfile kiểm tra phụ thuộc của Brewfile trước khi cài đặt môi trường phát triển.
• brew tap-new tự động tạo workflow cập nhật và publish bottle có attestation cho các tap mới.
• Deprecate các block Ruby post_install và cask *flight, chuyển sang *_steps có cấu trúc, cho phép xác thực và sandbox an toàn hơn.

Các block hook cũ sẽ bị từ chối ở tap chính thức ngay từ bây giờ, còn tap bên thứ ba nhận cảnh báo đến ngày 11/12/2027.

Lời kết

Homebrew là dự án phi lợi nhuận do đội ngũ tình nguyện viên vận hành hoàn toàn, không có nhân viên chính thức. Để duy trì hạ tầng CI, phần cứng và hosting, dự án kêu gọi đóng góp thường xuyên qua GitHub Sponsors, OpenCollective và Patreon. Đáng chú ý, kho Homebrew/brew hiện không có issue nào đang mở — một thành tích đáng nể kéo dài gần như suốt từ bản 6.0.0.