Homebrew 7.0.0: apa yang rusak hari Senin dan apa yang layak diadopsi

Proyek sukarelawan baru saja memensiunkan satu arsitektur CPU

Homebrew 7.0.0 dirilis pada 13 September, dan tulisan rilisnya merangkum diri dalam satu kalimat: perubahan paling signifikan sejak 6.0.0 adalah instalasi dan upgrade yang lebih cepat, sandboxing yang lebih kuat, aplikasi macOS native, pemeriksaan kerentanan bawaan berikut basis data advisori, berakhirnya dukungan macOS 10.15, dan Mac Intel yang turun ke Tier 3.

Klausa terakhir itulah yang membuat utas Hacker News menembus 585 poin dan 234 komentar dalam sehari, dengan maintainer utama Mike McQuaid menjawab sepanjang diskusi. Bacaan lugasnya tidak enak: sebuah package manager yang dijalankan sukarelawan berhenti mendukung satu arsitektur penuh karena dua perusahaan yang dulu memasok perangkat keras dan menit CI sudah pergi. Tulisan rilisnya blak-blakan: mundurnya Apple dan GitHub dari dukungan Intel melampaui apa yang sanggup digantikan para sukarelawan Homebrew. Apple telah mencabut dukungan Intel x86_64 dari macOS 27 Golden Gate, dan GitHub Actions akan memensiunkan runner macOS Intel pada musim gugur 2027.

Ini bukan changelog. Rilis di GitHub memuat 127 pull request yang digabung dari 23 kontributor, dan itu bisa Anda baca sendiri. Yang ditulis di sini adalah apa yang benar-benar rusak ketika Anda membuka laptop atau dasbor CI pekan ini, dan dua tambahan yang layak diadopsi sebelum menyentuh apa pun.

MacBook Intel di meja Anda

Kalau Anda masih di Intel, tanggal yang penting bukan yang tertulis di tulisan rilis. Secara resmi, Homebrew memindahkan macOS Intel x86_64 ke Tier 3 pada September 2026, dengan dukungan berakhir 2027-09-01. Dalam praktiknya, runner CI Intel sudah dimatikan pada 31 Agustus, lebih awal dari tenggat, karena persiapan sebelum pengujian di runner tersebut membengkak dari hitungan detik menjadi lebih dari dua jam dan tidak ada yang bisa menelusuri penyebabnya.

Akibatnya sudah terlihat: pengguna Intel mendapat pesan "no bottle available!" saat instalasi. Opsi yang terdokumentasi adalah brew install --build-from-source pada konfigurasi yang tidak lagi diuji Homebrew, atau pindah ke MacPorts.

"Tier 3" terdengar seperti pendaratan lunak. Bukan. Dokumentasi tier dukungan mendefinisikannya begini: konfigurasi Tier 3 tidak didukung; konfigurasi ini berada jauh di luar infrastruktur pengujian Homebrew dan bisa gagal berfungsi dengan andal, meski instalasi dasar mungkin masih jalan. Tier 1 sekarang adalah Apple Silicon di Sequoia 15, Tahoe 26, dan Golden Gate 27. Tidak ada baris Intel di atas Tier 3.

Keberatan di utas adalah bahwa Apple baru setahun lalu merilis macOS mayor untuk Intel, jadi pemutusan ini terasa terlalu dini. Jawaban McQuaid, pada intinya, adalah kalau Apple dan GitHub tidak sanggup terus mendukung macOS Intel, Homebrew juga tidak. Apa pun penilaian Anda, Mac Intel kini adalah mesin yang brew upgrade-nya bisa berubah menjadi pekerjaan kompilasi tanpa upstream tempat melapor. Kalau laptop itu ada di tim Anda, anggarkan penggantinya sekarang, bukan September 2027.

Dua perubahan batas minimum yang lebih kecil ikut serta: macOS minimum kini Big Sur (11), sehingga 10.15 hilang sepenuhnya, dan paket installer macOS hanya untuk Apple Silicon.

Job CI dan Brewfile yang berhenti bekerja

Panduan migrasinya pendek, dan tiap barisnya akan mengenai seseorang. Periksa repo Anda untuk hal-hal berikut sebelum gagal sendiri:

• Homebrew/actions@master. Cabang master dibekukan dan bootstrap kompatibilitasnya pensiun pada 2027-03-01. Pin ke main, rilis CalVer, atau SHA, selagi perbaikannya masih diff satu baris.
• HOMEBREW_BUNDLE_JOBS. Diganti HOMEBREW_DOWNLOAD_CONCURRENCY. Kalau Dockerfile atau env CI Anda mengekspor nama lama, konkurensi diam-diam jatuh ke nilai default.
• brew bundle install --cleanup. Hilang. Pembersihan kini langkah terpisah lewat brew bundle cleanup, jadi skrip yang mengandalkan flag gabungan itu meninggalkan formula usang alih-alih gagal dengan jelas.
• HOMEBREW_EVAL_ALL / --eval-all. Dihapus. Maintainer tap yang memakainya untuk audit lintas semua formula perlu pendekatan lain.
• brew update --merge. Dinonaktifkan.
• HOMEBREW_NO_SANDBOX_CASK. Dinonaktifkan tanpa pengganti. Cask yang hanya bisa dipasang dengan sandbox mati kini harus diperbaiki di sisi cask.

Sendiri-sendiri, tidak ada yang dramatis. Masalahnya, semua ini hidup di berkas .github/workflows, Brewfile, dan Dockerfile yang tidak pernah dibuka siapa pun selama setahun. Satu grep -r di seluruh organisasi untuk identifier di atas adalah pekerjaan sepuluh menit yang menyelamatkan hari Senin yang membingungkan.

Image Linux yang mengasumsikan Bubblewrap

Di Linux, cerita sandboxing berbalik. Bubblewrap keluar: Homebrew 7.0.0 menggantinya dengan Landlock, yang tidak butuh dependensi maupun izin Docker yang dinaikkan, sesuatu yang dulu menimbulkan masalah setup dengan Bubblewrap.

Ini kabar baik bagi siapa pun yang pernah menambahkan --privileged atau capability tambahan ke container hanya supaya brew bisa men-sandbox sebuah build. Flag-flag itu bisa dicabut. Perhatikan arah sebaliknya juga: HOMEBREW_NO_SANDBOX_LINUX sudah deprecated, dengan penghapusan pada 2027-12-11. Kalau sebuah image menyetelnya untuk menghindari dependensi Bubblewrap, alasan override itu sudah tidak ada. Hapus variabelnya, bangun ulang, dan pastikan build lolos di bawah Landlock selagi masih ada setahun masa fallback.

Rilis ini juga memperketat sandbox di macOS; catatannya mencantumkan butir seperti mempersempit izin tulis sandbox untuk mkdir_p. Formula yang diam-diam menulis di luar prefix-nya saat instalasi bisa mulai gagal. Itu sandbox yang bekerja sebagaimana mestinya, bukan regresi yang perlu diakali.

Adopsi ini dulu: brew vulns dan basis data advisori CC0

Inilah bagian rilis yang seharusnya mengubah cara Anda mengelola armada Mac. brew vulns kini bawaan, memeriksa kerentanan yang diketahui lewat OSV.dev tanpa tap atau gem tambahan. Di belakangnya ada basis data advisori baru yang mencatat kerentanan terhadap versi dan revisi formula yang persis dikirim Homebrew, termasuk perbaikan keamanan yang di-backport, dan dipublikasikan sebagai rekaman berformat OSV yang bebas dipakai ulang di bawah lisensi CC0.

Perbedaannya dari brew audit penting. Audit memeriksa apakah sebuah formula tersusun dengan benar; ia tidak pernah memberi tahu apakah versi curl yang terpasang punya CVE yang diketahui. Pemindai generik yang mencocokkan nomor versi upstream keliru ke arah sebaliknya: menandai formula sebagai rentan padahal Homebrew sudah mem-backport perbaikannya lewat kenaikan revisi. Basis data yang dikunci pada versi dan revisi formula yang persis, dirawat oleh orang-orang yang melakukan backport itu sendiri, menutup celah tersebut. Karena berlisensi CC0 dan berformat OSV, tim keamanan bisa menelannya ke perkakas apa pun yang sudah mereka jalankan tanpa perlu diskusi lisensi.

Setup minimum yang berguna adalah langkah CI terjadwal di repo mana pun yang mengirim Brewfile:

brew update
brew bundle install
brew vulns

Jalankan terjadwal, bukan hanya saat push, karena basis data advisori berubah terlepas dari kode Anda. Untuk laptop, brew vulns harian menangkap mesin yang belum menjalankan brew upgrade sejak awal tahun.

Adopsi kedua lebih kecil tapi mengubah kebiasaan harian: brew install --dry-run kini mempratinjau formula sekaligus cask. Sebelum upgrade besar di mesin yang Anda andalkan, dry run menunjukkan persis apa yang akan berubah, dan di perangkat Tier 3 ia menunjukkan instalasi mana yang akan berubah menjadi build dari source.

Dua butir lagi dari rilis yang sama: delapan advisori keamanan diperbaiki (satu High, dua Moderate, lima Low), dan installer macOS kini mengabaikan konfigurasi Git milik prefix yang sebelumnya bisa dieksekusi sebagai root. Kalau Anda membuat image mesin dengan paket installer, bangun ulang base image Anda.

Penulisan ulang ke Rust yang ternyata lebih lambat

Satu percakapan di utas Hacker News layak dibaca lebih luas daripada sekadar kolom komentar. Ditanya soal performa, McQuaid berkata tentang penulisan ulang ke Rust bahwa ia sudah mencobanya, dan hasilnya justru lebih lambat di sebagian besar benchmark non-sintetis; pelajaran dari percobaan itu lalu dipakai untuk membuat front end Ruby lebih cepat.

Percepatan di 7.0.0 datang dari jalur itu. brew install, brew reinstall, dan brew upgrade kini menumpangtindihkan persiapan paket dengan unduhan, dan brew config mengumpulkan detail sistem yang saling independen secara bersamaan. Portable Ruby naik ke 4.0.6_2. Tidak ada yang mengharuskan meninggalkan bahasanya.

Saran refleks untuk perkakas yang lambat adalah menulis ulang dengan bahasa yang lebih cepat. Ini titik data dari orang yang benar-benar mengerjakannya: benchmark sintetis tampak bagus, beban kerja nyata tidak, dan memprofil kode yang ada justru membuahkan hasil. Ukur apa yang sebenarnya dilakukan perkakas itu sebelum memilih bahasa untuk penulisan ulang.

Benang lain yang mengalir di diskusi adalah seberapa banyak rilis ini ditulis dengan bantuan LLM. Jawaban McQuaid, diparafrasekan, adalah bahwa cukup banyak pekerjaannya sendiri memang begitu, bahwa ia meninjau semuanya secara lokal sebelum dikirim ke mana pun, dan bahwa ia membangun IDE agen sendiri untuk melakukannya. Utas Lobsters lebih sepi, dengan 45 poin dan 3 komentar.

Yang perlu dikerjakan pekan ini

Berurutan, dan seluruh daftar ini di bawah satu jam untuk tim pada umumnya:

1. Inventarisasi Mac Intel. Mesin mana pun yang masih x86_64 berada di tier tanpa dukungan dan tanpa CI di belakangnya. Putuskan apakah ia build dari source, pindah ke MacPorts, atau diganti.
2. Grep flag yang dihapus. Homebrew/actions@master, HOMEBREW_BUNDLE_JOBS, --cleanup pada brew bundle install, HOMEBREW_EVAL_ALL, HOMEBREW_NO_SANDBOX_CASK. Perbaiki masing-masing di tempatnya.
3. Bersihkan image Linux. Buang workaround Bubblewrap dan override HOMEBREW_NO_SANDBOX_LINUX, bangun ulang, verifikasi di bawah Landlock.
4. Tambahkan brew vulns ke CI secara terjadwal, dan arahkan tim keamanan ke basis data advisori CC0.
5. Pakai --dry-run sebelum upgrade besar pertama di mesin mana pun yang Anda andalkan.

Pelajaran yang lebih besar adalah soal infrastruktur gratis. Homebrew tidak mencabut Intel karena ingin; ia mencabut Intel karena Apple berhenti merilis OS-nya dan GitHub memensiunkan runner-nya, dan sukarelawan tidak bisa membiayai selisihnya. Kalau pipeline Anda sendiri bertumpu pada perangkat keras donasi atau tier CI gratis, semua itu juga bisa ditarik sesuai jadwal orang lain.