Claude Code 2.1.309 อุดช่องโหว่ sandbox และ permission กว่า 10 จุด — shell startup files รันนอก sandbox, แก้ไฟล์ --mcp-config ได้, hook PowerShell fail-open — ส่วน 2.1.307 เพิ่ม OTel event ทุกครั้งที่ระบบความปลอดภัยหยุด tool

Anthropic ปล่อย Claude Code 2.1.309 เมื่อ 22 ต.ค. 2026 เวลา 22:18 UTC (เช้า 23 ต.ค. ตามเวลาไทย) release notes ยาวกว่า 11,000 ตัวอักษร ส่วนใหญ่เป็นการแก้บั๊กทั่วไป แต่มีกลุ่มหนึ่งที่ผู้ใช้ sandbox หรือ permission rule ควรอ่าน คือมีการแก้จุดที่ทำให้ขอบเขตความปลอดภัยหลุดกว่า 10 จุด ตั้งแต่ shell startup files ที่รันนอก sandbox ก่อนทุกคำสั่ง ไปจนถึง hook บน Windows ที่อนุญาตคำสั่งเมื่อตรวจไม่สำเร็จ (fail-open)

ก่อนหน้านั้นหนึ่งวัน 2.1.307 (21 ต.ค., 22:17 UTC) เพิ่ม OpenTelemetry event ใหม่ที่ทำให้ทีม security เห็นทุกครั้งที่ระบบป้องกันของ Claude Code หยุดหรือถามก่อนรัน tool ทั้งสองเวอร์ชันเป็นงานด้านเดียวกัน คือทำให้ sandbox แน่นขึ้นและตรวจสอบได้มากขึ้น ณ เวลาที่เขียน repo ยังไม่มี GitHub Security Advisory สำหรับรายการเหล่านี้ advisory ล่าสุดเป็นของ 9 ต.ค.

จุดที่ 2.1.309 แก้ (ยกจาก release notes)

Sandbox

• คำสั่ง Bash ใน sandbox บน macOS และ Linux รัน shell startup files นอก sandbox ก่อนทุกคำสั่ง หมายความว่าถ้าไฟล์อย่าง .bashrc หรือ .zshrc ถูกแก้ไข โค้ดในไฟล์นั้นจะรันโดยไม่มี sandbox ครอบ
• pattern denyWrite บน macOS ไม่มีผลกับ path จริง ถ้าเข้าถึงโฟลเดอร์ผ่าน symlink
• คำสั่งใน sandbox และการแก้ไฟล์ที่ auto-accept แก้ไฟล์ MCP config ที่ส่งผ่าน --mcp-config ได้ ซึ่งเปิดทางให้เพิ่ม MCP server ที่จะถูกโหลดในรอบถัดไป
• Linux: การห้ามเขียน (write deny) ของ sandbox หลุดเมื่อคำสั่ง background รันนานกว่า session
• การป้องกันการเขียน profile store ไม่ทำงานเมื่อเข้าถึง config directory ผ่าน symlink

Permission check

• การตรวจ Bash เชื่อตัวแปรที่ตั้งโดยคำสั่งซึ่ง redirect อาจเปิดไม่สำเร็จ
• คำสั่งผสมที่ cd ก่อนแล้วรัน git ไม่ถูกถามสิทธิ์ ถ้า cd ถูกห่อหรือมี prefix
• deny rule แบบ Edit(path) ไม่บล็อกการ redirect ของ Bash ไปยัง path นั้น ในคำสั่งที่มี subshell
• worktree-isolated session ยอมรับคำสั่งบางแบบที่ควรปฏิเสธ ทั้งแบบที่มี locale นำหน้า และแบบ arithmetic บน zsh
• Windows: การตรวจ PowerShell อนุมัติอัตโนมัติให้คำสั่ง Set-Location/cd ที่ชี้ไปยัง directory ปัจจุบันแต่มี argument เพิ่ม
• hook ที่รันใน PowerShell ไม่บล็อกเมื่อโปรแกรมของ hook จบด้วย exit code 2 และบน Windows hook PreToolUse กับ PermissionRequest ที่ตั้ง "shell": "powershell" fail-open เมื่อไม่ได้ติดตั้ง Git for Windows
• teammate แบบ split-pane ไม่ได้รับกฎ tool deny และ --tools จากคำสั่งของ leader

นอกจากนี้ยังมีการเปลี่ยนพฤติกรรมที่เกี่ยวข้อง claude ultrareview ต้องได้ workspace trust ก่อนรัน (ใน script ให้ใส่ --trust-workspace) ในโหมด bypass permissions บน Desktop และ VS Code คำสั่ง rm/rmdir ที่อันตรายจะถูกปฏิเสธทันทีพร้อมคำแนะนำให้เขียนใหม่ แทนการค้างรอคนกด และ sed -i จะผ่าน prompt ของ Bash ตามปกติ ซึ่งแปลว่า /rewind จะย้อนการแก้ด้วย sed -i ไม่ได้อีกแล้ว

2.1.307: เห็นทุกครั้งที่ระบบป้องกันทำงาน

2.1.307 เพิ่ม OpenTelemetry event ชื่อ claude_code.safety_event ซึ่งส่งออกทุกครั้งที่ permission rule, auto mode, safety check, hook หรือ sandbox หยุด ถาม หรือส่งคำสั่งกลับ ทีมที่ส่ง telemetry ของ Claude Code เข้า SIEM อยู่แล้วจะเห็นได้ว่า agent พยายามทำอะไรที่ถูกกันไว้ ซึ่งเดิมดูได้จาก transcript ทีละเครื่องเท่านั้น

เวอร์ชันเดียวกันเพิ่มคำสั่ง /claude-api api-version สำหรับย้ายโค้ดไป Claude API version 2026-10-21 (ซึ่งเราเขียนถึงเมื่อเช้า) และแก้บั๊กที่ HTTP MCP tool call ถูกส่งซ้ำสองครั้งเมื่อการเชื่อมต่อหลุดกลางทาง ตอนนี้จะ retry เฉพาะ tool ที่อ่านอย่างเดียวหรือ idempotent

มุมมอง AI Curator

แต่ละรายการอาจดูเล็ก แต่เมื่อรวมกันจะเห็นว่า sandbox ของ coding agent มีจุดรั่วตรงรอยต่อ ทั้ง symlink, ไฟล์ startup ของ shell, process ที่รันต่อหลัง session จบ และ hook ที่ fail-open เมื่อไม่มีโปรแกรมที่ต้องใช้ รายการที่น่ากังวลที่สุดคือ shell startup files กับ --mcp-config เพราะเป็นช่องทางฝังโค้ดค้างไว้ (persistence) แบบคลาสสิก prompt injection ในรอบหนึ่งเขียนโค้ดลง .zshrc หรือเพิ่ม MCP server ลง config แล้วโค้ดนั้นจะรันนอก sandbox ในรอบถัดไป เป็นรูปแบบเดียวกับที่ใช้ใน supply-chain attack ช่วงนี้ เช่นกรณี LiteLLM เมื่อวานที่ใช้ไฟล์ .pth ฝังตัว

ข้อสังเกตคือการแก้ทั้งหมดอยู่ใน changelog ปกติ ยังไม่มี advisory หรือ CVE ทั้งที่ repo เดียวกันเคยออก advisory ระดับ high ให้บั๊กประเภทใกล้กัน เช่น sandbox escape ผ่าน git worktree เมื่อเดือน มิ.ย. ทีมที่ใช้เครื่องมือ scan ช่องโหว่จาก CVE จะไม่ได้รับการแจ้งเตือน วิธีที่ใช้ได้จริงคือกำหนดเวอร์ชันขั้นต่ำเองใน managed settings หรือ MDM และอ่าน changelog ของ agent ทุกสัปดาห์เหมือนอ่าน changelog ของ dependency

สำหรับทีมพัฒนาไทยที่ให้ Claude Code รันแบบ unattended บน CI หรือ self-hosted runner ควรทำสามข้อ ข้อแรก อัปเดตเป็น 2.1.309 ทันที ข้อสอง ถ้าใช้ hook PowerShell บน Windows ให้ตรวจว่าเครื่องมี Git for Windows หรือย้าย hook ไปเป็นแบบอื่น ข้อสาม เปิด OTel แล้วตั้ง alert จาก claude_code.safety_event ถ้า agent ถูกบล็อกซ้ำ ๆ ใน repo เดียว มักแปลว่ามีอะไรบางอย่างใน repo นั้นกำลังพยายามสั่ง agent อยู่

แหล่งข่าว

• GitHub — Claude Code v2.1.309 release notes (22 ต.ค. 2026)
• GitHub — Claude Code v2.1.307 release notes (21 ต.ค. 2026)
• GitHub — anthropics/claude-code Security Advisories
• AI Curator — LiteLLM 1.107.0 ถูกฝังมัลแวร์ (22 ต.ค. 2026)