Données et sécurité
L'étiquette « stable » de Claude Code reste en 2.1.236 sans le correctif de cloisonnement d'identifiant, pour un quinzième jour au moins ; « latest » avance à 2.1.258, dont la 2.1.257 corrige des failles de sécurité omises par le Run A
Anthropic
- Source
- Sources citées · portée à lire dans le détail
- Preuve
- Preuve actuelle non établie · dernière preuve du 2 septembre 2026
- Revue
- Contre-revue à compléter
Contre-vérification à compléter : La contre-vérification de cette version n’est pas établie. Lire la méthode
Revérification directe du registre de distribution npm et du journal de version officiel le 2026-09-02 : l'étiquette « stable » de @anthropic-ai/claude-code pointe toujours la 2.1.236, dont l'artefact est daté du 2026-08-19, tandis que l'étiquette « latest » avance de 2.1.252 à 2.1.258, publiée le 2026-09-01T22:25:07Z. Le CHANGELOG brut ne compte en réalité que deux sections publiées dans cet intervalle : 2.1.257 (2026-09-01T17:15:33Z) et 2.1.258 elle-même (2.1.253 à 2.1.256 n'ont jamais été publiées sur npm). La 2.1.258 porte des correctifs d'interface, de fiabilité des sessions distantes/planifiées et un correctif de lancement macOS 12 (Monterey). Correction de la contre-revue indépendante (Run B, 2026-09-02) : la 2.1.257 corrige, elle, plusieurs failles à portée sécurité lues verbatim dans le CHANGELOG — un contournement du blocage sandbox par domaine à point final (deniedDomains), une lecture de fichiers hors répertoire de greffon par lien symbolique, deux contournements de la règle d'autorisation Bash en mode auto, et plusieurs fuites d'en-tête Authorization ou d'identifiant résiduel vers Foundry, Vertex et Bedrock — sans bulletin de sécurité formel ni CVE, comme pour les cinq correctifs des 13 et 14 août déjà documentés. Le correctif de cloisonnement d'identifiant livré en 2.1.246 n'est donc toujours pas porté par le canal « stable ».
Réserve
Aucune date de déplacement d'étiquette n'est publiée par le registre : le fait établi est la persistance du retard au 2026-09-02, pas son ancienneté exacte au-delà du 19 août. L'éditeur ne publie ni identifiant de vulnérabilité ni périmètre des versions affectées pour le correctif de 2.1.246.
Repère belge
Reste le point le plus actionnable pour une organisation belge qui suit le canal « stable » par prudence, en particulier via une passerelle tierce ou un mandataire d'entreprise : un jour supplémentaire sans correctif sur ce canal. Conduite inchangée : passer en 2.1.246 ou plus récent, puis faire tourner la clé de la passerelle, dans cet ordre.
Preuves
- npm — dist-tags de @anthropic-ai/claude-code (nouvel onglet)
- Anthropic — CHANGELOG.md en contenu brut (nouvel onglet)
Détection : registry.npmjs.org — étiquettes de distribution @anthropic-ai/claude-code
Dernière tentative de lecture : 2026-09-02.
Une source permet d’examiner une affirmation dans son contexte. Son statut et le nombre de liens ne garantissent pas le résultat. La méthode est décrite dans les sources et les limites.