Homebrew 6.0 reforça segurança com sandbox no Linux, verificação de vulnerabilidades e controle rigoroso de taps

O Homebrew 6.0 não é só uma atualização: é um redirecionamento estratégico de segurança da cadeia de suprimentos para ambientes Linux e macOS. O sandboxing no Linux via Bubblewrap não é apenas 'mais um isolamento', ele usa namespaces de usuário, seccomp e IPC restritos, mas depende criticamente da versão 0.11.2 do Bubblewrap (lançada em abril/2026), que removeu suporte a setuid por causa da CVE-2026-41163. Ou seja: o Homebrew 6.0 só é seguro nesse ponto se estiver rodando sobre essa correção específica.

O comando brew vulns consulta o OSV, mas com um detalhe operacional crucial: desde outubro/2025, o banco restabeleceu mais de 500 vulnerabilidades escondidas por erro de ingestão de dados. Isso significa que usuários que atualizaram após essa correção agora veem alertas reais que antes eram silenciados, e muitos desses são CVEs na KEV (Known Exploited Vulnerabilities), justamente o foco da nova política da NVD após o aumento de falsos positivos gerados por ferramentas como o Claude Mythos.

A cobertura CEVIU de 12 de junho ainda tratava o tap trust como um mecanismo novo, mas sem detalhar seu impacto prático. Agora sabemos que ele bloqueia automaticamente qualquer execução de Ruby arbitrário de taps não oficiais, incluindo scripts de instalação, hooks pós-build e até comandos personalizados. Antes, o risco vinha de taps maliciosos como 'homebrew-core-alt' ou 'brew-utils-pro'; hoje, o Homebrew exige confirmação explícita *antes* mesmo de clonar o repositório Git. É uma mudança de modelo: de confiança implícita por nome para verificação explícita por origem.

Para equipes de segurança corporativa, isso muda o jogo de gestão de vulnerabilidades. Um único brew vulns agora detecta riscos em tempo real contra a base OSV, e não contra a NVD desatualizada ou fragmentada. Isso alinha o Homebrew ao padrão exigido por políticas como a ISO/IEC 27001:2022, que exige escaneamento contínuo de componentes de terceiros. Para DevSecOps, o sandboxing no Linux elimina o risco de builds comprometidas contaminarem o host, algo que já era obrigatório no macOS há dez anos, mas só agora virou realidade para servidores Linux com CI/CD baseado em GitHub Actions, onde os runners Intel x86_64 serão cortados em agosto/2027.