Homebrew 7 : Intel en sursis, Catalina dehors

Ce qui se passe

Homebrew 7.0.0 est sorti le 13 septembre 2026. La montée de version est automatique — un brew update suffit, et l'auto-update la déclenchera seul — ce qui rend d'autant plus utile de savoir ce qui disparaît avant qu'elle passe.

Le plus large n'est pas l'abandon d'Intel, dont on parlait depuis août 2025 : c'est macOS Sonoma 14, rétrogradé en Tier 3 lui aussi, donc sans nouvelles bouteilles précompilées.

Environnement	Statut en 7.0.0	Échéance
macOS 10.15 Catalina et antérieurs	supprimé — passer à macOS 11 Big Sur	maintenant
macOS Sonoma 14	Tier 3, plus de bouteilles — passer à Sequoia 15+	maintenant
Intel macOS 11+	Tier 3, plus de bouteilles ; MacPorts conseillé	1er septembre 2027
Apple Silicon macOS 11	fin de support ; passer à macOS 12+	1er septembre 2027
`ghcr.io/homebrew/ubuntu22.04`	image supprimée → `ghcr.io/homebrew/brew`	maintenant
`Homebrew/actions/*@master`	branche supprimée → release CalVer ou SHA complet	maintenant
Branche `master` de `Homebrew/brew`	gelée → basculer sur `main`	1er mars 2027
`post_install`, `preflight`, `postflight`	dépréciés → `*_steps`	11 décembre 2027

Sur Apple Silicon, seuls Sequoia 15, Tahoe 26 et Golden Gate 27 restent en Tier 1. Homebrew continue de fonctionner sur Intel jusqu'en septembre 2027, mais sans support du projet ni compilation de bouteilles : les formules mises à jour se rebâtiront depuis les sources.

Ce que ça apporte

La nouveauté la plus directement utile est brew vulns. Elle s'appuie sur la nouvelle Homebrew/advisory-database, qui enregistre les vulnérabilités contre les versions et les révisions que Homebrew livre réellement, correctifs rétroportés compris, et interroge OSV.dev sans tap ni gem supplémentaire :

Terminal

brew vulns                      # scanne les formules installées
brew vulns --severity=high      # se limite au sévère
brew vulns --deps --brewfile    # inclut les dépendances, ou lit un Brewfile
brew vulns --fix-available      # priorise ce qui a un correctif
brew vulns --list-skipped       # montre les trous de couverture

Le reste tient du confort, mais du confort qu'on remarque : brew install --dry-run prévisualise formules et casks ensemble, brew doctor --json sort des diagnostics exploitables par un script, et brew services lit désormais des surcharges persistantes dans $HOMEBREW_USER_CONFIG_HOME/services/<formula>.env, qui survivent aux mises à jour du paquet.

Côté sécurité, huit avis sont publiés avec la version. Le plus sévère, GHSA-rg9r-ppxp-87hm (High, corrigé en 6.0.12), portait sur des métadonnées de suppression de cask non signées capables d'exécuter des commandes via sudo. L'installation est par ailleurs mise en bac à sable : lecture du répertoire personnel bloquée par défaut, et migration progressive vers une phase fetch qui télécharge avec le réseau, puis un install sans réseau et avec des caches en lecture seule.

Ce qu'il faut faire

Si votre CI utilise l'image Ubuntu 22.04 ou une action épinglée sur master, elle casse maintenant, pas en 2027.
Sur un poste Sonoma 14, prévoir la montée vers Sequoia 15 si vous tenez aux paquets précompilés.
Lancer brew vulns une fois la mise à jour passée : c'est un audit gratuit de ce qui traîne sur la machine.

Le bac à sable, prévient le projet, « cannot make untrusted software safe to run » : la confiance dans le tap reste la vraie protection, et les installeurs .pkg des éditeurs s'exécutent hors du bac à sable.

À retenir

Homebrew 7 déplace la frontière du support d'un cran vers le récent : Catalina dehors, Intel et Sonoma sans bouteilles. En échange, brew vulns remplace un outil tiers par une commande intégrée.