Claude Code v2.1.309がサンドボックスと権限の抜けをまとめて修正：起動ファイルのサンドボックス外実行、シンボリックリンク経由のdenyWriteなど

Claude Code v2.1.309（2026-10-22）のリリースノートは、大半がサンドボックスと権限の修正だ。同じ週のv2.1.304〜v2.1.307にもセキュリティ関連の変更がいくつかある。以下はすべて公式changelogからの引用で、「これが意味すること」の節は私の推論であり、そう明記してある。

v2.1.309：サンドボックスの修正

• macOSとLinuxで、サンドボックス化されたBashコマンドが、各コマンドの前にシェルの起動ファイルをサンドボックスの外で実行していた問題を修正。
• macOSで、パターンのフォルダがシンボリックリンク経由で到達される場合に、denyWriteのglobがパスの実体の場所に適用されなかった問題を修正。サンドボックスのドキュメントにも、macOSで拒否パスがシンボリックリンクを通る場合は実体の場所も拒否すると書かれている。
• サンドボックス化されたコマンドや自動承認された編集が、--mcp-configで渡したMCP設定ファイルを変更できた問題を修正。
• Linux：バックグラウンドコマンドがセッションより長生きすると、サンドボックスの書き込み拒否が解除される問題を修正。
• 設定でサンドボックス対象外にしたコマンドは、サンドボックスが有効なのに実行できない場合、書き込みリストのパスへ書く前に確認する。サンドボックスなしのフォールバックは拒否される。

v2.1.309：権限チェックの抜け

• リダイレクトの失敗がありうるコマンドが設定した変数を、Bashの権限チェックが信用していた問題を修正。
• gitの前にディレクトリを変える複合コマンドで、cdが包まれていたり接頭辞が付いていたりすると、単純なcdのように確認が出なかった問題を修正。
• サブシェルを含む一部のコマンドで、Edit(path)のdenyルールがそのパスへのBashリダイレクトを止められなかった問題を修正。
• Windows：現在のディレクトリを対象に追加引数を持つ一部のSet-LocationやcdをPowerShellのチェックが自動承認していた。今は確認が出る。
• printとSDKのセッションで、無効化したMCPサーバーが後の権限プロンプトで再接続される問題を修正。

アップグレード前に知っておく挙動の変更

• sed -iは標準のBashプロンプトが出て、シミュレートされたファイル編集プレビューではなく書いた通りに実行される。/rewindでも復元されなくなった。/rewindでsed -iを取り消せると頼っていたなら、その保険は無くなる。
• claude ultrareviewはworkspace trustが必要になった。ターミナルでは確認し、それ以外では拒否する。スクリプトでは値を取らない--trust-workspace（PR番号やベースブランチはその前に置く）を渡すか、CLAUDE_CODE_DISABLE_ULTRAREVIEW_TRUST_CHECK=1を設定する。
• Desktopアプリ・VS Codeのbypass permissionsモードでは、危険なrm・rmdirが書き換えのヒント付きで即座に拒否される。無人セッションが止まらないようにするためだ。
• サイズ上限を超えるネストしたCLAUDE.mdは先頭だけ読み込まれる。読んだ後にセッションが繰り返し圧縮される問題を防ぐ。

同じ週のほかの項目

• v2.1.304：マウントしたドライブやトップレベルのフォルダ（/Volumes、/media、/mnt/cなど）へのrm -rで安全確認が出る。
• v2.1.307：新しいclaude_code.safety_event OpenTelemetryイベント。権限ルール、auto mode、安全チェック、hook、サンドボックスが止めた・確認した・差し戻したツール呼び出しごとに発行される。
• v2.1.305：新しいsandbox.allowNestedUserNamespaces。サンドボックス化されたコマンドがサンドボックスのファイル保護を回避できるようになると、ノートが明言している。

これが意味すること（私の判断）

リリースノートは何を直したかを述べるだけで、実際に悪用されたかどうかは書かれておらず、CVE番号もなく、悪用状況を述べる独立した情報源も私には見つからなかった。したがって実被害の報告として読まないでほしい。役に立つ見方は、修正がサンドボックスと権限チェックの端に集中しているという点だ。つまり、起動ファイルはサンドボックス外で走らない、denyルールはシンボリックリンクを通っても効く、内部のコマンドは設定ファイルを書き換えられない、といった、サンドボックスを信頼するときに頼っている前提である。チームが無人セッションの主要なガードとしてサンドボックスを使っているなら、v2.1.309以降への更新は価値がある。上記の経路に実際に当たるかどうかは、私には判断できない。