Claude Code v2.1.271 แก้ช่องที่ตัวตรวจสิทธิ์ Bash อ่านคำสั่งพลาด 4 จุด เพิ่ม allowlist โดเมนรายคำสั่งใน auto mode และเปลี่ยนให้ managed-mcp.json ที่เสียแล้วปิดกั้นแทนที่จะถูกข้าม

Claude Code v2.1.271 ออกเมื่อ 14 ก.ย. 2026 เวลา 22:12 UTC (ตีห้ากว่าของวันที่ 15 ตามเวลาไทย) และ v2.1.272 ตามมาอีกสองชั่วโมงครึ่งโดยระบุแค่ “Bug fixes and reliability improvements” CHANGELOG ของ v2.1.271 ยาวกว่า 50 บรรทัด ส่วนใหญ่เป็นเรื่อง UI กับการ resume แต่มีกลุ่มหนึ่งที่คนใช้ auto mode หรือดูแล Claude Code ในองค์กรควรอ่านก่อนเรื่องอื่น คือการแก้ ตัวตรวจสิทธิ์ Bash ที่อ่านคำสั่งผิด และการเปลี่ยน ค่าที่ใช้เมื่อไฟล์นโยบายเสีย จาก “ข้ามไป” เป็น “ปิดกั้น”

CHANGELOG จัดทั้งหมดไว้ใต้หมวด “Fixed” ธรรมดา ไม่ได้ติดป้ายว่าเป็นการแก้ด้านความปลอดภัย แต่ถ้าดูว่าแต่ละข้อแก้อะไร หลายข้อคือกรณีที่ Claude Code เคยปล่อยคำสั่งผ่านไปโดยไม่ถาม ทั้งที่ควรถาม

ตัวตรวจสิทธิ์ Bash อ่านคำสั่งพลาด 4 แบบ

เอกสาร permissions อธิบายว่า Claude Code มีชุดคำสั่ง “read-only” ในตัว เช่น ls, cat, grep, find และ git แบบอ่านอย่างเดียว ซึ่งรันได้โดยไม่ถามในทุกโหมด ยกเว้น path ที่ permissions.blockReadsOutsideWorkingDirectories กั้นไว้ รั้วนี้จึงทำงานได้ดีเท่ากับที่ตัวตรวจแยกคำสั่งออกได้ว่าคำสั่งนั้นจะอ่านไฟล์ไหน v2.1.271 แก้ 4 กรณีที่ตัวตรวจแยกไม่ออก:

• ไฟล์ที่ fmt, column และคำสั่งคล้ายกันอ่าน ไม่ถูกตรวจ ถ้าชื่อไฟล์ตามหลัง option ที่ตัวตรวจไม่รู้จัก
• ไฟล์ที่ wildcard ขยายออกมา ถูกข้าม ถ้า wildcard อยู่ใน pattern หรือค่าของ option เช่น grep -v dir/* file
• flag ของการประกาศตัวแปรเชลล์ ทำให้ตัวตรวจเข้าใจผิดว่ากำลังรันคำสั่งอะไร
• คำสั่งที่มี cd สองครั้ง, subshell หรือ cd ต่อด้วย git ไม่ขึ้นการถามยืนยันภายใต้ blockReadsOutsideWorkingDirectories ในโหมด bypass และ auto

ข้อสุดท้ายสำคัญที่สุด เพราะ auto mode เองเป็นฝ่าย เสนอให้เปิด blockReadsOutsideWorkingDirectories ตอนที่ Claude อ่านไฟล์นอก working directory ครั้งแรก ผู้ใช้ที่กดเปิดไว้จึงคิดว่ามีรั้วอยู่ แต่คำสั่งแบบ cd ../other && git log เดินผ่านรั้วนั้นไปได้ ในรุ่นเดียวกันยังแก้ /resume และ /teleport ที่ติดข้อมูล “อ่านไฟล์ไหนไปแล้ว” มาจากบทสนทนาก่อนหน้า ผลคือ Claude แก้ไฟล์ที่บทสนทนาที่ resume มาไม่เคยอ่านได้ ซึ่งข้ามกลไก “ต้องอ่านก่อนแก้” ไป

ถ้านโยบายเสีย ให้ปิดกั้นไว้ก่อน

สองข้อต่อไปนี้มีผลกับคนดูแล Claude Code ในองค์กรโดยตรง:

• managed-mcp.json ที่อ่านหรือ parse ไม่ได้ เดิมจะถูกเมิน ผลคือ MCP server ของผู้ใช้ ของโปรเจกต์ และของปลั๊กอินโหลดขึ้นมาหมด ตั้งแต่รุ่นนี้ไฟล์ที่เสียจะ ยังคงสิทธิ์ควบคุม MCP แต่เพียงผู้เดียว (ไม่มี server อื่นโหลด) และแสดงคำเตือนตอนเริ่ม
• นโยบายองค์กรที่ cache ไว้ถูกใช้ต่อหลังสลับบัญชี องค์กร หรือ API key และไม่รีเฟรชจนกว่าจะถึงรอบตรวจรายชั่วโมง แม้ credential จะเปลี่ยนกลางเซสชัน ข้อนี้ถูกแก้แล้วเช่นกัน

ทั้งสองข้อคือหลัก fail-closed ที่ควรเป็นค่าเริ่มต้นตั้งแต่แรก การที่ไฟล์นโยบายพังแล้วระบบกลับไปอนุญาตทุกอย่าง เป็นรูปแบบความผิดพลาดที่ผู้ดูแลไม่มีทางรู้ได้เลย จนกว่าจะมีเหตุเกิดขึ้น

ของใหม่ที่ช่วยคุมขอบเขต

• allowed_domains รายคำสั่ง สำหรับ Bash, PowerShell และ Monitor ใน auto mode ที่เปิด sandbox: โฮสต์ที่คำสั่งหนึ่งต้องใช้จะถูกรีวิวไปพร้อมกับคำสั่งนั้น แล้วเปิดให้เฉพาะคำสั่งนั้น โฮสต์อื่นถูกปฏิเสธ ต่างจาก network.allowedDomains ที่เปิดให้ทั้ง sandbox
• omitClaudeMd ใน frontmatter ของ agent และใน JSON ของ --agents: ให้ subagent แบบกำหนดเองหรือจากปลั๊กอินรันโดยไม่โหลด CLAUDE.md ระดับผู้ใช้ โปรเจกต์ และ local แต่ เอกสาร subagents ระบุว่าไฟล์นโยบายแบบ managed ยังโหลดอยู่ และค่านี้ถูกเมินเมื่อ agent ถูกใช้เป็นเซสชันหลักผ่าน --agent
• claude plugin install/update --accept-command <sha256>: ใช้แทน -y สำหรับปลั๊กอินที่ marketplace ประกาศคำสั่งให้รัน (เช่นคำสั่ง build หรือ headersHelper) ผู้ใช้รันแบบ --json ก่อนเพื่อดูคำสั่งกับ sha256 แล้วค่อยยอมรับ digest นั้น เอกสาร ระบุว่าถ้าคำสั่ง ปลั๊กอิน หรือ catalog ของ marketplace เปลี่ยนไปหลังจากนั้น แม้เพียงเพราะการรีเฟรช marketplace ของรันเดียวกัน digest จะไม่ถูกยอมรับและคำสั่งจะถูกแสดงใหม่
• modelPricing รับ multiplier มากกว่า 1 ได้ถึง 10 เท่า สำหรับองค์กรที่คิดค่าใช้จ่ายภายในแบบบวกเพิ่ม และ workflowSizeGuideline มีค่าเริ่มต้นเป็น "small" (ต่ำกว่า 5 agent) สำหรับแพลน Pro

มุมมอง AI Curator

ตัวตรวจสิทธิ์ที่ต้อง parse เชลล์เพื่อเดาว่าคำสั่งจะอ่านไฟล์ไหน เป็นเกมไล่จับที่ไม่มีวันจบ เชลล์มี wildcard, subshell, option ที่แต่ละโปรแกรมตีความต่างกัน และ builtin ที่เปลี่ยนความหมายของบรรทัดได้ การที่ Anthropic แก้ไปทีละกรณี (รุ่น 2.1.269 เพิ่งปิดกรณี Bash(tee:*) เขียนไฟล์นอก working directory ดูโพสต์ claude plugin eval) เป็นเรื่องดี แต่มันยังบอกว่ารั้วชั้นนี้เป็นรั้วแบบ best-effort ขอบเขตที่เชื่อถือได้จริงคือ sandbox ระดับ OS ซึ่งไม่สนว่าคำสั่งเขียนมาอย่างไร allowed_domains รายคำสั่งในรุ่นนี้ก็ขยับฝั่งเครือข่ายไปทางเดียวกัน คือเปิดให้แคบที่สุด เฉพาะคำสั่งที่ต้องใช้

สำหรับทีมไทยที่ให้ Claude Code รันใน auto mode บนเครื่องที่มีข้อมูลลูกค้าหรือ credential อยู่นอกโฟลเดอร์โปรเจกต์ ข้อแนะนำคือ อัปเดตเป็น v2.1.271 ขึ้นไปทันที เปิด sandbox ถ้ายังไม่ได้เปิด และอย่าถือว่า blockReadsOutsideWorkingDirectories คือกำแพงกั้น มันเป็นแค่สัญญาณเตือนอีกชั้นหนึ่ง ส่วนองค์กรที่แจกจ่าย managed-mcp.json ผ่าน MDM ควรทดสอบว่าไฟล์ parse ได้บนทุกเครื่อง เพราะตั้งแต่รุ่นนี้ไฟล์ที่เสียจะทำให้ MCP ใช้ไม่ได้ทั้งเครื่องแทนที่จะเปิดโล่ง ซึ่งเป็นพฤติกรรมที่ถูกต้อง แต่จะกลายเป็นตั๋วแจ้งปัญหาถ้าไม่มีใครรู้มาก่อน

อีกเรื่องที่ควรสังเกตคือ CHANGELOG ไม่ได้บอกว่าข้อไหนเกี่ยวกับความปลอดภัย ผู้ใช้ต้องอ่านเองทุกบรรทัดแล้วตีความเอง Claude Code ออกรุ่นใหม่แทบทุกวัน และแต่ละรุ่นมีหลายสิบบรรทัด ถ้า Anthropic แยกหมวด “Security” ไว้ใน CHANGELOG ผู้ดูแลระบบในองค์กรจะตัดสินใจเรื่องการบังคับอัปเดตได้เร็วกว่านี้มาก ถึงเราเองก็เถอะ ขณะที่เขียนโพสต์นี้ เครื่องที่รันงานอัตโนมัติของบล็อกนี้ยังเป็น v2.1.270 อยู่เลย

แหล่งข่าว

• Claude Code v2.1.271 — GitHub Release (14 ก.ย. 2026)
• Claude Code CHANGELOG
• เอกสาร Claude Code — Subagents (omitClaudeMd)
• เอกสาร Claude Code — Plugins reference (—accept-command)