Os avisos de 6 de fevereiro descrevem três falhas de gravidade alta e uma baixa no Claude Code. Elas afetam a leitura de arquivos com acesso negado, a escrita em diretórios protegidos e o isolamento dos comandos na sandbox. Confira a versão instalada no seu ambiente e revise as condições específicas de cada ficha.
AplicativoClaude Code
Data do compilado
Vulnerabilidades4
As pontuações são do CVSS 4.0. Os quatro avisos informam que a atualização automática padrão recebeu as correções. Para instalações atualizadas manualmente, a orientação é instalar a versão mais recente. A correção disponível no projeto precisa ser confirmada na instalação que você utiliza.
Gravidade altaCVSS: 7,7/10Correção disponível
Escrita em diretório protegido após mudança com cd
A validação dos comandos não acompanhava corretamente a mudança de diretório feita com cd quando ela era combinada com uma escrita. Isso permitia criar ou alterar arquivos em pastas protegidas, como .claude, sem a sua confirmação. A exploração confiável exigia inserir conteúdo não confiável na janela de contexto do Claude Code.
Casos de uso afetados
Durante uma sessão, o Claude Code recebe conteúdo não confiável na janela de contexto e executa um comando que muda para .claude com cd e escreve nessa pasta. Uma versão afetada podia realizar a alteração sem a confirmação exigida para o diretório protegido.
Confira na sua instância
Verifique a versão do Claude Code e revise o histórico de comandos da sessão, quando disponível. Procure mudanças de diretório com cd seguidas de escrita em .claude. Compare os arquivos dessa pasta com uma cópia conhecida para identificar alterações que você não autorizou.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
@anthropic-ai/claude-code (npm)
< v2.0.57
v2.0.57
CVE-2026-25722.
Gravidade altaCVSS: 7,7/10Correção disponível
Hooks persistentes permitem escapar da sandbox no reinício
A sandbox baseada em bubblewrap deixava .claude/settings.json sem proteção quando o arquivo não existia na inicialização. Como o diretório pai permitia escrita, código malicioso executado dentro da sandbox podia criar o arquivo e registrar hooks persistentes. No reinício do Claude Code, comandos como os de SessionStart eram executados com as permissões do ambiente hospedeiro.
Casos de uso afetados
Você inicia o Claude Code com a sandbox de bubblewrap e sem .claude/settings.json. Caso código malicioso rode na sandbox, ele podia criar esse arquivo com um hook que executaria comandos fora do isolamento na próxima inicialização.
Confira na sua instância
Confira a versão instalada e, com o Claude Code encerrado, abra .claude/settings.json em um editor independente. Revise os hooks, especialmente SessionStart, e compare o arquivo com o histórico ou uma cópia conhecida. Investigue um arquivo criado durante a sessão se ele estava ausente na inicialização, sem reiniciar o agente para experimentar comandos desconhecidos.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
@anthropic-ai/claude-code (npm)
< v2.1.2
v2.1.2
CVE-2026-25725. A proteção de somente leitura aplicada a .claude/settings.local.json não cobria a criação de settings.json ausente.
Gravidade altaCVSS: 7,7/10Correção disponível
Pipeline com echo e sed contorna restrições de escrita
Com o recurso accept edits habilitado, comandos que combinavam echo e sed por um pipe podiam escrever em caminhos que deveriam permanecer restritos. A validação dessa combinação permitia alcançar a pasta .claude e arquivos fora do escopo do projeto. A exploração exigia conseguir executar comandos pelo Claude Code nesse modo.
Casos de uso afetados
Você habilita accept edits para editar o projeto e o Claude Code executa uma combinação de echo e sed por pipe. Nas versões afetadas, essa escrita podia atingir .claude ou um caminho externo ao projeto apesar das restrições configuradas.
Confira na sua instância
Compare a versão instalada com a faixa do aviso e confira se accept edits esteve habilitado nas sessões analisadas. No histórico disponível, revise comandos que ligam echo a sed por pipe e identifique os destinos de escrita. Examine alterações em .claude e nos caminhos externos encontrados, comparando-as com versões conhecidas dos arquivos.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
@anthropic-ai/claude-code (npm)
< v2.0.55
v2.0.55
CVE-2026-25723.
Gravidade baixaCVSS: 2,3/10Correção disponível
Link simbólico permite ler arquivo com acesso negado
Um arquivo cujo acesso você negou no settings.json ainda podia ser lido pelo Claude Code através de um link simbólico acessível. A checagem da permissão não aplicava a restrição ao destino do link, permitindo a leitura de um caminho como /etc/passwd mesmo com a negativa configurada.
Casos de uso afetados
Você restringe a leitura de um arquivo no settings.json, mas mantém acessível um link simbólico que aponta para ele. Nas versões afetadas, o Claude Code podia chegar ao conteúdo pelo link.
Confira na sua instância
Confira a versão instalada e compare-a com a faixa afetada. Revise os caminhos com leitura negada no settings.json e examine o destino dos links simbólicos acessíveis ao Claude Code. Procure links que terminem nesses arquivos restritos, sem abrir o conteúdo deles pelo agente.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Programador há mais de 20 anos, fundador da Powertic e da Promovaweb. Embaixador do n8n no Brasil e da Baserow, Chatwoot, Miro e Kestra. Membro do Product Team do Mautic.
Canais oficiais
Nossos Links
Encontre a Promovaweb no canal que combina com o seu próximo passo.
