Arquivo git.exe do projeto podia executar código ao abrir a pasta no Claude Desktop
O Claude Desktop para Windows chamava a função uv_spawn para iniciar o git.exe sem indicar o caminho absoluto do executável. Essa busca procurava o arquivo no diretório de trabalho antes dos diretórios do sistema. Um atacante podia incluir um git.exe malicioso na pasta de um projeto compartilhado para que o aplicativo executasse esse arquivo no lugar do Git esperado. Bastava você abrir a pasta no Claude Desktop para disparar a execução, sem outra interação explícita.
Casos de uso afetados
- Você clona um repositório que contém um git.exe inserido por um atacante e abre a pasta no Claude Desktop para Windows anterior à versão 1.8089.0. A busca pelo executável pode selecionar esse arquivo e executar o código do atacante.
- Você recebe uma pasta de projeto compartilhada com um git.exe malicioso e a abre no aplicativo vulnerável. O cenário também depende da presença desse executável no diretório de trabalho, mesmo sem uma clonagem feita por você.
Confira na sua instância
Confira o número da versão instalada do Claude Desktop no Windows e compare-o com 1.8089.0. Uma versão inferior está na faixa afetada. Caso você faça atualizações manuais, instale a versão mais recente e confira novamente o número após reabrir o aplicativo. Antes de abrir um projeto recebido de terceiros, examine a pasta pelo Explorador de Arquivos, com as extensões visíveis, e procure um git.exe no diretório que será aberto. Não execute um arquivo suspeito para identificá-lo. Essa inspeção complementa a atualização, mas não comprova que uma instalação vulnerável recebeu a correção.
Versões afetadas e correções
| Linha | Afetadas | Corrigidas |
|---|---|---|
| Claude Desktop | < 1.8089.0 | 1.8089.0 |
O aviso também identifica a falha como CVE-2026-88066. A pontuação 7,5 corresponde ao CVSS 4.0. Segundo a Anthropic, a atualização automática padrão já distribuiu a correção. Confira a versão instalada para confirmar que ela chegou ao seu computador.
