Données et sécurité
L'étiquette « stable » de Claude Code reste en 2.1.236 sans le correctif de cloisonnement d'identifiant, pour un seizième jour au moins ; « latest » avance à 2.1.259, avec deux nouveaux correctifs de sécurité sans CVE
Anthropic
- Source
- Sources citées · portée à lire dans le détail
- Preuve
- Preuve actuelle non établie · dernière preuve du 3 septembre 2026
- Revue
- Contre-revue à compléter
Contre-vérification à compléter : La contre-vérification de cette version n’est pas établie. Lire la méthode
Revérification directe du registre de distribution npm et du journal de version officiel le 2026-09-03 : l'étiquette « stable » de @anthropic-ai/claude-code pointe toujours la 2.1.236, dont l'artefact est daté du 2026-08-19, tandis que l'étiquette « latest » avance de 2.1.258 à 2.1.259, publiée le 2026-09-02T21:21:42Z. Le CHANGELOG brut relu intégralement pour 2.1.259 documente des ajouts fonctionnels (paramètre managé `managedMcpServers`, `--permission-prompts none` pour les hôtes headless, `--json` sur `claude plugin validate`, reconnaissance des commandes `glab mr`) et une trentaine de correctifs, dont deux à portée sécurité : des règles de refus `Read()` de Bash contournables par valeur d'option (`--ignore-revs-file=.env`, `-f.env`, `@file`), par opérande de fichier `git diff`/`git grep`, ou par composé `cd DIR && cat FICHIER` (un `grep -r`/`cp -r` sur un répertoire contenant un fichier refusé demande désormais confirmation) ; et des paramètres managés (fichier managed-settings, drop-in, plist MDM, valeur HKLM) qui, illisibles, n'étaient auparavant pas appliqués sans avertissement — Claude Code refuse désormais de démarrer et nomme la source en cause. Aucun bulletin de sécurité formel ni identifiant CVE n'accompagne ces deux correctifs, comme pour les correctifs de la 2.1.257 la veille. Le correctif de cloisonnement d'identifiant livré en 2.1.246 n'est donc toujours pas porté par le canal « stable ».
Réserve
Aucune date de déplacement d'étiquette n'est publiée par le registre : le fait établi est la persistance du retard au 2026-09-03, pas son ancienneté exacte au-delà du 19 août. L'éditeur ne publie ni identifiant de vulnérabilité ni périmètre des versions affectées pour les deux correctifs de la 2.1.259, qui n'ont pas encore été confirmés par une contre-revue indépendante (à la différence de ceux de la 2.1.257).
Repère belge
Reste le point le plus actionnable pour une organisation belge qui suit le canal « stable » par prudence, en particulier via une passerelle tierce ou un mandataire d'entreprise : un jour supplémentaire sans correctif sur ce canal. Conduite inchangée : passer en 2.1.246 ou plus récent, puis faire tourner la clé de la passerelle, dans cet ordre. Les deux nouveaux correctifs de la 2.1.259 concernent surtout les organisations qui distribuent des règles de refus Bash ou des paramètres managés par MDM ou fichier centralisé : vérifier qu'aucune règle de refus ne reposait sur une des formes désormais bloquées, et que la politique managée était effectivement appliquée et non silencieusement ignorée.
Preuves
- npm — dist-tags de @anthropic-ai/claude-code (nouvel onglet)
- Anthropic — CHANGELOG.md en contenu brut (nouvel onglet)
Détection : registry.npmjs.org — étiquettes de distribution @anthropic-ai/claude-code
Dernière tentative de lecture : 2026-09-03.
Une source permet d’examiner une affirmation dans son contexte. Son statut et le nombre de liens ne garantissent pas le résultat. La méthode est décrite dans les sources et les limites.