O Claude Code 2.1.319 e 2.1.321 fecham uma saída da sandbox de worktrees e uma fuga de tokens OAuth de MCP. Atualize já

Veredito: atualize hoje para o 2.1.321 (inclui o 2.1.319). O changelog do Claude Code lista oito correções de segurança em dois lançamentos com três dias de diferença: uma saída da sandbox, uma fuga de tokens e seis contornos de permissões ou da sandbox. Nenhuma tem CVE nem aviso de segurança, por isso, se acompanha a segurança do Claude Code através de feeds de avisos ou de analisadores, não foi informado. O nosso veredito sobre o claude-code mantém-se condicional: as correções são bem-vindas, mas avisar sobre segurança por linha de changelog é exatamente a razão por que não está mais alto.

O que aconteceu

A Anthropic lançou o Claude Code 2.1.319 a 6 de novembro de 2026 e o 2.1.321 a 9 de novembro de 2026. A versão 2.1.320 não aparece no changelog. Quando verificámos o changelog a 10 de novembro, listava estas correções, citadas tal como foram escritas:

2.1.321 (9 de novembro)

• «Fixed MCP OAuth requests sending secrets such as refresh tokens to another host when a server redirected them»
• «Fixed a case where a read-only Bash command ran outside the sandbox without a permission prompt»
• «Fixed a case where Bash permission checks judged a file write from the wrong folder and didn't prompt»
• «Fixed deny rules and protected-file prompts not applying to the file that a cp or mv into a directory writes»

2.1.319 (6 de novembro)

• «Fixed a sandbox escape when creating a worktree»
• «Fixed a Bash permission bypass where a crafted environment prefix could hide part of a command from permission checks»
• «Fixed a case where a sed command could skip the permission check in accept-edits and auto mode»
• «Fixed a case where /rewind could restore or delete a file through a directory symlink»

Uma mudança de comportamento para utilizadores atrás de gateways (2.1.319)

O 2.1.319 muda o modo auto quando a telemetria ou as feature flags estão desligadas, incluindo atrás de gateways de LLM: «calls the server can't check are asked about or denied, with no fallback to the built-in classifier» (as chamadas que o servidor não consegue verificar passam a ser perguntadas ou recusadas, sem fallback para o classificador incorporado). Definir CLAUDE_CODE_AUTO_MODE_SERVER=0 mantém o classificador incorporado. O changelog diz que o Bedrock, o Vertex e o Foundry não mudam.

Porque é importante

Repetimos: são correções de segurança lançadas como linhas comuns de changelog. Três delas merecem prioridade.

• Redirecionamento de OAuth de MCP. Se se liga a servidores MCP que não opera, um redirecionamento pode levar o seu refresh token para outro anfitrião. É uma exposição de credenciais, não apenas um pedido de confirmação que lhe passou.
• Saída da sandbox de worktrees. Quem confiava na sandbox ao correr agentes paralelos em worktrees estava menos contido do que supunha.
• Contornos de permissões. As correções do prefixo de ambiente, do sed, da pasta errada e do cp/mv descrevem todas comandos que podiam passar pelas verificações de que os modos accept-edits e auto dependem.

O que muda para si

Perguntas frequentes

Há algum CVE para estas correções? Não. O changelog é o único aviso, por isso os analisadores de vulnerabilidades e os feeds de avisos dificilmente sinalizarão versões antigas.

Preciso do 2.1.319 primeiro? Não. Instalar o 2.1.321 inclui tudo o que está no 2.1.319.

A mudança do modo auto afeta o Bedrock, o Vertex ou o Foundry? Não. O changelog diz que esses fornecedores não mudam.