Claude Code 週次まとめ（8/25〜8/28） — シンボリックリンクで承認済みの外を読み書きできた問題が修正され、管理設定に承認が要るようになった
2026-08-25 から 08-28 の Claude Code（2.1.245 / 247 / 248 / 250 / 251）をまとめる。今週の中心はセキュリティ修正である。2.1.251 で、ファイルツール（Read / Write / Edit）が権限チェックの後に差し替えられたシンボリックリンクを辿り、承認済みの場所の外を読み書きできた問題が修正された。Grep / Glob がシンボリックリンク経由のパスに Read の deny ルールを適用していなかった問題、プラグインコマンドがプラグインディレクトリの外を指せた問題も同時に直っている。2.1.248 では、/ultrareview とローカル起点のクラウドセッションが未コミットの資格情報ファイルをアップロードしていた問題が修正された。あわせて、サンドボックスや資格情報注入を弱めるサーバー管理設定に適用前の承認が必須になり、--restricted モードが追加された。
ニュース原文を読む ↗今週の要点
まず更新してください。今週はセキュリティ修正の週です。
承認した場所の外を読み書きされうる状態でした (2.1.251)。ファイルツール（Read / Write / Edit）が、権限チェックのあとに作業ディレクトリ内で差し替えられたシンボリックリンクを辿り、承認済みの範囲の外を読み書きできていました。同じ形の欠陥が2か所同時に直っています。Grep / Glob がシンボリックリンク経由の検索パスに Read(...) の deny ルールを適用していなかった問題と、マーケットプレイスで宣言されたプラグインコマンドがプラグインディレクトリの外を指せた問題です。CI や共有環境で動かしているなら、更新は後回しにできません。
資格情報ファイルが手元から出ていました (2.1.248)。/ultrareview とローカル起点のクラウドセッションが、未コミットの prod.env 形式ファイル、*.tfvars、資格情報のエディタ swap / 一時 / バックアップファイル（key.pem.tmp、id_rsa.swo など）をアップロードしていた問題が修正されました。修正されても、送信済みの事実は消えません。該当しうる環境では鍵のローテーションを検討してください。
管理設定の再承認が発生します (2.1.251)。サンドボックスの TLS 終端、自前プロキシ経由のルーティング、資格情報注入、サンドボックス分離の弱体化を行うサーバー管理設定に、適用前の承認が必須になりました。ANTHROPIC_CUSTOM_HEADERS も同様です。配布済みの設定がそのまま通らなくなります。
変更一覧
セキュリティ — シンボリックリンク経由の権限回避をファイルツール・Grep/Glob・プラグインコマンドの3か所で修正。プロジェクト設定から詳細ベータトレーシングや生 API ボディのログを有効化できた問題を修正 (2.1.251)。資格情報ファイルのクラウド送信を修正 (2.1.248)。プラグインマーケットプレース名の制御文字・不可視文字を拒否 (2.1.247)。
権限モード — --restricted（CLAUDE_CODE_RESTRICTED=1）を追加。実行系ツールと WebFetch を除去し、ファイル操作を作業ディレクトリ内に限定し、bypassPermissions を拒否し、ユーザー／プロジェクト／ローカルの設定ファイルをすべて無視します。実行環境側の設定で権限を緩められません (2.1.248)。
管理設定と既定値 — 危険なサーバー管理設定への承認必須化、seat 型 Enterprise 契約の既定モデルが Opus 5 へ、CLAUDE_CODE_SUBAGENT_MODEL が上書きではなく既定値の設定に変更 (2.1.251)。管理設定の読み込み失敗を /doctor と /status に表示 (2.1.248)。
コストと使用量 — /cost にセッション単位のプロンプトキャッシュ行（ヒット率・ミス・再キャッシュ・warm/cold）、/usage に Spend limit バー (2.1.251)。/usage-credits で対象 Enterprise 組織のメンバーが上限引き上げを申請可能に (2.1.248)。/claude-api cost-optimize で Claude API 支出を要因ごとに計測しながら詰められます (2.1.247)。
フックと拡張 — PreModelSwitch / PostModelSwitch でモデル切替をブロック・確認・注記できます (2.1.251)。エージェント frontmatter の experimental.cacheTtl (2.1.248)。SendFeedback ツールと組織独自のスピナーヒント配信 (2.1.247)。
その他 — Sonnet 5 の既定 auto-compact 窓が 1M コンテキスト全体になり、自動圧縮の発火が約 934K から約 967K トークンへ後ろ倒しされました (2.1.247)。glibc 2.44 環境（Arch Linux / CachyOS / Fedora Rawhide）の起動クラッシュ修正 (2.1.245)。
拾わなかったもの
2.1.251 だけで 100項目を超えます。表示調整、キーボード操作、内部改善、個別の不具合修正は省きました。2.1.250 は公式記載が「バグ修正と信頼性向上」の1行のみで、内訳は公開されていません。全件は公式 CHANGELOG を参照してください。