Homebrew 7.0.0: Grafische Oberfläche BrewUI, mehr Tempo und neue Sicherheitsfunktionen

Der Paketmanager Homebrew ist am 13. September 2026 in Version 7.0.0 erschienen. Das Release bringt deutlich schnellere Installationen, eine erstmals offizielle grafische Oberfläche für macOS, eine eingebaute Schwachstellenprüfung mit eigener Advisory-Datenbank sowie strengere Sandboxing-Regeln. Gleichzeitig endet die Unterstützung für macOS 10.15 Catalina, und Intel-Macs rutschen in die schwächste Support-Stufe.

Was ist passiert?

Homebrew-Projektleiter Mike McQuaid hat die neue Hauptversion im offiziellen Projektblog angekündigt. Als bedeutendste Änderungen gegenüber 6.0.0 nennt er schnellere Installationen und Upgrades, verschärftes Sandboxing, eine native macOS-Anwendung, eingebaute Schwachstellenprüfungen samt Advisory-Datenbank, das Ende der Unterstützung für macOS 10.15 sowie die Einstufung von Intel-Macs in Tier 3.

Das Update kommt über die gewohnten Wege: Ein automatisches Update oder ein manuelles brew update bringt die neue Version. Wer $HOMEBREW_NO_AUTO_UPDATE gesetzt hat, muss den Befehl selbst ausführen.

Spürbar schnellere Installationen

Homebrew arbeitet in Version 7.0.0 an mehreren Stellen parallel statt nacheinander. Downloads, Vorbereitung und Installation laufen stärker nebenläufig ab, Fehler und Zusammenfassungen werden dabei koordiniert.

• Überlappende Arbeitsschritte: brew install, brew reinstall und brew upgrade verschränken Paketvorbereitung und Downloads. Das gilt auch für brew bundle-Stapel, sodass eine Brewfile von derselben gemeinsamen Installationsarbeit profitiert wie ein Befehl mit mehreren Paketnamen.
• Diagnose parallelisiert: brew config sammelt unabhängige Systeminformationen gleichzeitig, statt auf jeden Unterprozess einzeln zu warten.
• Schnellere Inventarabfragen: brew tap-info --installed --json=v1 holt Tap-Metadaten nebenläufig und behält dabei die von Skripten erwartete Ausgabereihenfolge bei.
• Weniger Cache-Scans: brew cleanup vermeidet wiederholte Durchläufe und wird dadurch besonders bei vielen installierten Paketen schneller.
• Direkter Download-Start: brew fetch liest Download-Informationen für Bottles und Casks direkt aus den API-Metadaten, statt vollständige Paketdefinitionen nur wegen URLs und Prüfsummen zu laden.
• Warme Läufe: Homebrew verwendet bereits eingelesene API-Daten wieder, prüft Signaturen aber bei jedem Laden erneut. Zusätzlich startet Homebrew weniger Unterprozesse und liest Terminalgrößen direkt aus, was Hänger mit uutils stty vermeidet.

Neue Sicherheitsfunktionen

Der Sicherheitsteil ist der umfangreichste Block des Releases. Er besteht aus drei Bereichen: behobene Schwachstellen, neue Schutzmechanismen bei der Installation und eine eingebaute Schwachstellenprüfung.

Behobene Schwachstellen

Das Projekt listet die zugehörigen Sicherheitshinweise mit ihren ersten korrigierten Versionen auf:

• GHSA-rg9r-ppxp-87hm (hoch, behoben in 6.0.12): Unsignierte Metadaten zur Cask-Entfernung konnten Befehle mit sudo ausführen. Der betroffene Wiederherstellungscode und die zugehörigen API-Zugriffe wurden vollständig entfernt.
• GHSA-5263-whxq-77hp (mittel, behoben in 7.0.0): Ein bösartiges Cask konnte über LaunchServices Code außerhalb der macOS-Installations-Sandbox ausführen. Homebrew schränkt jetzt Anwendungsstarts, Mach-Dienste und Unix-Socket-Verbindungen ein.
• GHSA-hqpg-hjr9-c7j8 (mittel, behoben in 6.0.12): Der macOS-Installer ignoriert nun Git-Konfigurationen im Installationspfad, die Programme als Root hätten ausführen können.
• GHSA-x82f-cj53-gqfr (niedrig, behoben in 6.0.7): brew livecheck begrenzt Weiterleitungen, um Server-Side Request Forgery zu verhindern.
• GHSA-3m5g-jfx7-3p65 (niedrig, behoben in 6.0.7): Download-Weiterleitungen dürfen geheime Header nicht mehr an andere Hosts weitergeben.
• GHSA-r9gp-p4vv-f93x (niedrig, behoben in 6.0.6): Git-Weiterleitungen können Tap-Beschränkungen nicht mehr umgehen.
• GHSA-9g4r-vmj2-j2gj (niedrig, behoben in 6.0.7): Subversion-External-URLs können nicht mehr zu Befehlsoptionen werden.
• GHSA-r7qx-325v-4ccx (niedrig, behoben in 6.0.6): Patch-Ziele können den Quellbaum nicht mehr verlassen.

Schutz bei Installation und Taps

Das Projekt ordnet die neuen Schutzmechanismen bewusst ein: Vertrauen in den jeweiligen Tap bleibt der wichtigste Schutz gegen bösartige Drittanbieter-Casks. Das Sandboxing begrenzt vor allem versehentlichen Schaden. Untrusted Software wird dadurch nicht sicher, denn Anwendungen laufen mit den Rechten des Nutzers, und mitgelieferte .pkg-Installer des Herstellers laufen außerhalb der Sandbox und verlangen teils sudo.

• Homebrew liefert strukturierte Einrichtungsdaten signiert aus und kapselt Formula- und Cask-Operationen in einer Sandbox, was willkürliche Ruby-Ausführung reduziert.
• Die Abhängigkeits-Downloads wandern schrittweise in eine eigene Fetch-Phase: Migrierte Formulae laden mit Netzwerkzugriff und beschreibbarem Cache herunter, danach wird für die Installation das Netzwerk abgeschaltet und der Cache schreibgeschützt. Die Migration läuft noch.
• Lesezugriffe auf das Benutzerverzeichnis blockiert die Sandbox standardmäßig, damit persönliche Dateien nicht in Paket-Builds geraten. Private temporäre Verzeichnisse erlauben Build-Werkzeugen weiterhin lokale Kommunikation ohne Netzwerkzugang.
• Abweichende reale und effektive Benutzer-IDs lehnt Homebrew künftig bereits vor dem Lesen der Konfiguration ab.

Eingebaute Schwachstellenprüfung mit brew vulns

Neu ist eine eigene Advisory-Datenbank, die Schwachstellen gegen genau die Formula-Versionen und Revisionen erfasst, die Homebrew ausliefert, inklusive zurückportierter Sicherheitsfixes. Der Befehl brew vulns ist fest eingebaut und prüft bekannte Schwachstellen über OSV.dev, ohne dass ein zusätzlicher Tap oder ein Gem nötig wäre.

• brew vulns untersucht installierte Formulae und meldet übersprungene Pakete aus nicht vertrauenswürdigen Taps. Die Optionen --severity=high, --deps und --brewfile grenzen die Prüfung ein.
• Für die Priorisierung stehen --fix-available und --no-fix-available bereit, --fix-type unterscheidet zwischen veröffentlichten und gepatchten Korrekturen, --list-skipped zeigt Abdeckungslücken.
• Die Befunde erscheinen zusätzlich in der Formula-API und als herunterladbarer Advisory-Index. Die Datensätze liegen im OSV-Format vor und stehen unter CC0 zur freien Weiterverwendung.
• Sicherheitspatches, die mit resolves gekennzeichnet sind, erkennt Homebrew und meldet dafür keine offenen Schwachstellen mehr.
• In Software-Stücklisten ergänzt Homebrew Upstream-Paketkennungen, damit externe Werkzeuge Quellarchive mit Registries wie PyPI, npm oder Cargo verknüpfen können.
• Für unterstützte Drittanbieter-Taps prüft Homebrew Attestierungen, sofern der Tap die nötigen Nachweise veröffentlicht.

BrewUI: die erste offizielle Oberfläche

Die sichtbarste Neuerung für Mac-Nutzer ist BrewUI, die vollständig veröffentlichte offizielle grafische Oberfläche für macOS. Installiert wird sie über brew install homebrew-app und setzt macOS Tahoe 26 oder neuer voraus.

BrewUI bündelt Paketsuche, Durchsuchen des Angebots und Details zu installierten Versionen in einem Fenster. Bemerkenswert ist, dass die Anwendung die zugrunde liegenden brew-Befehle zu den jeweiligen Aktionen anzeigt. Damit bleibt nachvollziehbar, was im Hintergrund passiert, und der Übergang zwischen grafischer Bedienung und Terminal fällt leichter.

Änderungen an Befehlen und Konfiguration

• brew install --dry-run zeigt Formulae und Casks gemeinsam in der Vorschau.
• brew list --no-installed-on-request kennzeichnet Formulae, die nur als Abhängigkeit installiert wurden.
• brew info unterscheidet nicht installierbare Pakete (⊘) von schlicht nicht installierten (✘) und markiert nicht erfüllte Betriebssystem- und Architekturanforderungen.
• brew services liest dauerhafte Überschreibungen aus $HOMEBREW_USER_CONFIG_HOME/services/<formula>.env. Lokale Diensteinstellungen überleben damit Paket-Upgrades. Neue und neu gestartete Dienste verwenden sh.brew.<formula> unter macOS und Linux.
• brew doctor --json liefert strukturierte Diagnosedaten für Automatisierung und warnt zusätzlich, wenn ein anderes brew die aktuelle Installation im PATH verdeckt.
• brew deps --brewfile prüft die Abhängigkeiten einer Brewfile vor der Installation.
• brew untap bietet an, die Pakete eines Taps gleich mit zu deinstallieren.
• HOMEBREW_AUTO_UPDATE_QUIET unterdrückt Paketdetails automatischer Updates.

Für Linux-Nutzer: Landlock ersetzt Bubblewrap

Homebrew 6.0.0 hatte Sandboxing per Bubblewrap eingeführt. Version 7.0.0 ersetzt das durch Landlock, das keine zusätzlichen Abhängigkeiten und keine erweiterten Docker-Rechte benötigt. Genau diese Anforderungen hatten bei Bubblewrap für Einrichtungsprobleme gesorgt.

Kernel ohne Landlock funktionieren weiterhin, dann allerdings ohne Linux-Sandboxing in der weniger sicheren Konfiguration vor Version 6.0.0. brew doctor weist auf den fehlenden Schutz hin, brew config meldet zur Fehlersuche die Landlock-ABI. Ab Linux 6.1 unterstützt Homebrew Landlock ABI 2 und warnt, wenn der Kernel keine Netzwerkbeschränkungen durchsetzen kann. AppImages verschiebt Homebrew jetzt an ihren Anwendungszielort, analog zu .app-Installationen unter macOS, damit Selbstaktualisierungen die Starter erhalten.

Die Umgebungsvariable HOMEBREW_SANDBOX_LINUX ist deaktiviert und sollte entfernt werden, Landlock greift automatisch. HOMEBREW_NO_SANDBOX_LINUX und HOMEBREW_ARCH gelten als veraltet mit Frist bis 11. Dezember 2027.

Support-Ende: Catalina raus, Intel in Tier 3

Version 7.0.0 entfernt die Unterstützung für macOS 10.15 Catalina und älter. Betroffene Systeme müssen auf macOS 11 Big Sur oder neuer wechseln.

Intel-Macs stuft Homebrew im September 2026 auf Tier 3 herab. Angekündigt wurde das bereits im August 2025 und in den Release Notes zu Version 5.0.0 am 12. November 2025 wiederholt. Homebrew läuft auf Intel noch bis September 2027 weiter, allerdings ohne Projektunterstützung und ohne routinemäßig gebaute Bottles. Bestehende Bottles bleiben erhalten, aktualisierte Formulae können jedoch Quellbauten erfordern. Als Begründung nennt das Projekt, dass der Rückzug von Apple und GitHub aus der Intel-Unterstützung das übersteigt, was die Freiwilligen des Projekts ersetzen können. Für Intel-Nutzer verweist Homebrew ausdrücklich auf MacPorts als möglicherweise besser abgedeckte Alternative.

Auch macOS Sonoma 14 fällt auf Tier 3 und bekommt keine neuen Bottles mehr, empfohlen wird Sequoia 15 oder neuer. Der .pkg-Installer läuft nur noch auf Apple Silicon und verlangt mindestens macOS Sequoia 15. Vollständig unterstützt (Tier 1 auf Apple Silicon) sind Sequoia 15, Tahoe 26 und Golden Gate 27. Positiv für die Einrichtung: Vorgefertigte Casks installiert Homebrew jetzt ohne Xcode Command Line Tools, eine Compiler-Abhängigkeit weniger.

Für CI-Umgebungen und Tap-Betreuer

Das Container-Image ghcr.io/homebrew/ubuntu22.04 wurde entfernt, Nachfolger ist ghcr.io/homebrew/brew. Verweise auf Homebrew/actions/*@master funktionieren nicht mehr und müssen auf eine CalVer-Veröffentlichung oder einen vollständigen SHA zeigen, für @main wird die Migration empfohlen. Für Tap-Betreuer erzeugt brew tap-new automatische Update-Workflows und standardmäßig attestierende Bottle-Publishing-Workflows, abschaltbar über --no-attestations.

Für wen ist das relevant?

Für Administratoren und Entwickler auf macOS und Linux, die Homebrew produktiv einsetzen, lohnt ein genauer Blick. Kurzfristig relevant sind drei Punkte: Wer noch macOS 10.15 oder älter betreibt, verliert die Unterstützung sofort. Wer Intel-Macs im Einsatz hat, sollte die Frist bis September 2027 einplanen und Alternativen prüfen. Wer Homebrew in CI-Pipelines nutzt, muss entfernte Images und Action-Referenzen aktiv umstellen, da diese nicht mehr weitergeleitet werden.

Für Sicherheitsverantwortliche ist vor allem brew vulns interessant, weil sich damit ohne Zusatzwerkzeuge prüfen lässt, welche installierten Pakete bekannte Schwachstellen aufweisen und für welche bereits Korrekturen bereitstehen.

Quellen

• Homebrew: Offizielle Release Notes zu 7.0.0 (13.09.2026)
• Caschys Blog: Homebrew 7.0.0 mit BrewUI, mehr Tempo und neuen Sicherheitsfeatures