Données et sécurité10 septembre 2026

Claude Code 2.1.268 corrige deux fuites de secrets dans les messages d'erreur et une régression HTTP 400 pour les points de terminaison tiers

Anthropic

Source: Document primaire consulté
Preuve: Preuve actuelle non établie · dernière preuve du 11 septembre 2026
Revue: Contre-revue à compléter

Contre-vérification à compléter : La contre-vérification de cette version n’est pas établie. Lire la méthode

Le registre npm officiel de @anthropic-ai/claude-code, interrogé le 2026-09-11, montre l'étiquette « latest »/« next » avancer de 2.1.267 (2026-09-09T18:25:42.820Z) à 2.1.268 (2026-09-10T18:41:11.770Z). Le CHANGELOG brut de l'éditeur, lu directement le même jour, documente pour cette version deux correctifs de fuite d'identifiants dans les messages d'erreur : un jeton ou mot de passe présent dans une URL Git source pouvait apparaître dans les erreurs de plugin ou de marketplace ; des secrets résolus depuis des emplacements `${VAR}` dans une configuration MCP pouvaient apparaître dans `/mcp`, `/plugin`, `claude mcp list`/`get` et les erreurs de connexion MCP. La version corrige aussi une régression présente depuis 2.1.265 : tout tour de conversation échouait avec une erreur HTTP 400 sur les points de terminaison tiers compatibles Anthropic (`ANTHROPIC_BASE_URL`), à cause d'une expression régulière du schéma d'entrée de l'outil Artifact refusée par ces points de terminaison. Autres ajouts : synchronisation tarifaire de la passerelle Claude apps quand `pricing:` est défini dans `gateway.yaml`, sortie `--json` pour `claude plugin install/uninstall/update/enable/disable`, et icônes d'onglet de navigateur pour les artefacts publiés. La page GitHub Releases (anthropics/claude-code/releases/tag/v2.1.268), lue directement le 11 septembre, confirme une publication le 10 septembre 2026 à 20:30 (heure de l'éditeur) et un contenu identique au CHANGELOG. L'étiquette « stable » reste bloquée à 2.1.236 (artefact du 2026-08-19), soit un écart de 23 jours avec « latest ».

Réserve

Le CHANGELOG ne précise pas depuis quelle version antérieure chaque fuite de secret était exploitable, ni si des identifiants ont réellement fui en pratique pour un utilisateur donné : seule la correction est documentée. Une liste de correctifs ne constitue pas un audit de sécurité indépendant. Le comportement détaillé de la synchronisation tarifaire de la passerelle reste à tester dans une configuration réelle.

Repère belge

Deux points de sécurité concrets pour toute organisation belge utilisant Claude Code avec des plugins installés depuis une URL Git contenant des identifiants, ou des serveurs MCP configurés avec des secrets en variables d'environnement : ces secrets pouvaient apparaître en clair dans des messages d'erreur ou des commandes de diagnostic avant 2.1.268, avec un risque de fuite via des journaux ou des captures d'écran partagées pour un support technique. Mettre à jour et considérer une rotation des identifiants concernés si des messages d'erreur ont été partagés ou journalisés avant cette version. Les équipes utilisant `ANTHROPIC_BASE_URL` vers un point de terminaison tiers et bloquées depuis 2.1.265 par l'erreur HTTP 400 peuvent mettre à jour pour la résoudre. Aucun changement de prix ou de disponibilité régionale n'est établi par ailleurs.

Preuves

Détection : aucun signal enregistré

Mise à jour substantielle documentée le 11 septembre 2026 · Dernière tentative de lecture : 2026-09-11.

Une source permet d’examiner une affirmation dans son contexte. Son statut et le nombre de liens ne garantissent pas le résultat. La méthode est décrite dans les sources et les limites.

← Toutes les annonces qualifiées