Claude Codeの脆弱性一覧｜公式告知32件と直った版、版の確かめ方と更新手順

Claude Codeの脆弱性（悪用されると被害につながるソフトの欠陥）は、2026年11月7日までに32件が公式に告知されています。古い版のまま使うと、他人から届いたフォルダを開いただけで命令が動くことがあります。鍵の流出や外への送信、作業フォルダの外の書き換えが起こりえます。

やることは3つです。

• いま使っている版を確かめ、公式告知の「直った版」と比べる
• 入れ方に合った方法で更新し、最後の更新が成功したかまで見る
• 更新を確かめるまでは、知らない人から届いたフォルダを開かない

この3つで、告知済みの32件はすべて防げます。2026年11月7日時点では、版が2.1.260以上なら32件すべてが直っています。この記事では32件の一覧と、日本語の指示1つで版を確かめる手順、入れ方ごとの更新のしかたを実際の画面で示します。

Saix自身、Claude Codeを社内の業務の大半で使っています。外部のページやファイルに紛れた命令を、読み込んだ直後に検査して警告する仕組みも入れています。2026年11月7日にSaixの作業用のMacを診断すると、自動更新はオンなのに最後の更新が失敗していました。

そのときの版も既知の脆弱性の範囲の外で、被害は出ていません。作り手であり使い手でもある立場から、机上論ではなく手を動かす前提で書きます。

Claude Codeの脆弱性とは｜安全のための確認や制限を、すり抜けられてしまう不具合

Claude Codeの脆弱性とは

Claude Codeの脆弱性とは、本来なら止まるはずの操作が、確認や制限をすり抜けて通ってしまう不具合のことです。Claude Codeは、ファイルを書き換えたりコマンド（パソコンへの命令）を実行したりする前に、利用者に確認を求める作りになっています。

その確認や、作業フォルダの外に出られない制限に穴があると、利用者が許していない操作が動きます。脆弱性は「AIが賢くないから起きる」のではなく、守りの仕組みのほうの穴です。

公式の告知には、CVE（脆弱性に世界共通で振られる管理番号）と、GHSA（GitHubというプログラムの公開サービス上の告知番号）が付きます。重大度は高・中・低の3段階で示されます。32件のうち25件が「高」でした。

関連資料：「Claude業務棚卸しシート」（PDF・無料）を配布しています。

仕組み：正常時に働く確認・制限と、脆弱性ですり抜けられる仕組み

正常なときは、命令は設定された確認と制限を通ってから実行されます。脆弱性があると、細工した設定や書き方で確認を飛ばされ、そのまま実行まで進みます。

入口になるのは主に2つです。1つ目は、他人が用意したフォルダに入っている設定です。2つ目は、コマンドの書き方の工夫で、確認の判定をだます方法です。

起きることも主に2つです。作業フォルダの外のファイルが書き換えられること、そして鍵やファイルの中身が外へ送られることです。下の画面は、知らないフォルダで初めてClaude Codeを起動したときに出る、信頼の確認です。

告知の多くは、この確認の前に命令が動いてしまう穴でした。確認画面が出ること自体は守りですが、古い版では確認の前に動く穴が見つかっています。

対策しないと起きる被害と実例：鍵の流出・外への送信・作業フォルダの外の書き換え

実際の告知から、被害の形ごとに1件ずつ挙げます。どれも研究者の報告で見つかって直されたもので、実際の被害の報告とは別です。

どの被害も、古い版のまま、他人が用意したフォルダや文章を読ませたときに起きます。反対にいえば、直った版に上げてあれば、告知済みの穴からは入られません。

更新で減らせるリスクと、更新しても残るリスク

更新で消えるものと、更新しても残るものを分けておきます。

まとめると、対策はだいたいこの3つです。版を確かめる、入れ方に合った方法で更新して結果を見る、知らないフォルダを点検してから開く。拒否の設定など、更新の外側の守りは関連記事で詳しく扱っています。

Claude Codeを守る前に、会社の入口であるホームページとメールの守りも確かめておきます。Saixの無料のセキュリティ診断は、会社のURLを入れると、外から誰でも見られる範囲を12項目で自動チェックし、点数と直し方を出します。

結果を見る前に、会社名などの入力があります。侵入テストではなく、外から見える範囲だけを確かめる簡易チェックです。会社のサイトを無料でセキュリティ診断する

Claude Codeの脆弱性一覧｜掲載32件の影響する版と直った版（2026年11月7日時点）

結論から書くと、2026年11月7日時点で公式に告知された32件は、版が2.1.260以上ならすべて直っています。自分の版の確かめ方は次の章にあります。表は、自分の版が古かったときに、どれが当てはまるかを見るためのものです。

Saixは2026年11月7日に、GitHub上の公式の告知一覧を全件取得しました。見たのは anthropics/claude-code の Security の欄です。告知は36件あり、うち4件はClaudeのデスクトップアプリ向けで、Claude Code向けは32件でした。

32件それぞれの「影響する版」の範囲に版の番号を当てて数えると、2.1.259は1件が当てはまり、2.1.260からは0件でした。表の「影響する版」が自分の版を含んでいれば、その行の脆弱性が当てはまります。

表は2026年11月7日に、GitHub上の公式告知をそのまま取得して日本語にまとめたものです。告知は後から増えるため、使うときは公式の一覧で最新を確かめてください。

種類で分けると、信頼の確認の前に動くものと、作業フォルダの外へ書き込むものが8件ずつです。承認の確認をすり抜けるものが7件、外へ送られるものが3件、禁止の設定をすり抜けるものが2件、その他が4件です。

CVE-2026-86063は、発見したセキュリティ会社が「Plugin4Shell」と名付けて公表したものです（発見した会社の公表）。追加機能を確認済みの版に固定していても、同じ名前に見せかけた別の中身へすり替えられる穴で、Claude Codeは2.1.179で直っています。

代表的な告知は、米国の脆弱性データベースのNVD（米国の政府機関が運営する脆弱性の登録簿）にも登録されています。

表を作る途中で、もう1つ分かったことがあります。npm（プログラムの部品を配る仕組み）の公開記録で直った版の公開日を調べると、版の記録がある31件すべてで、直った版の公開が告知より先でした。差は5日から153日、真ん中の値は40日です。半分以上の告知は、直ってから1か月以上あとに出ています。

告知の本文にも「通常の自動更新を使っている人には修正が届いている。手動で更新している人は最新の版へ」と、毎回ほぼ同じ文が書かれています。

Claude Codeの脆弱性の確かめ方｜版・入れ方・告知との照合を、日本語の指示3つで確かめる

自分のClaude Codeが危ないかどうかは、版の番号で決まります。番号は、Claude Codeに日本語で聞けば調べてくれます。コマンドを覚えなくても、日本語の指示3つで確かめられます。

図の左が画面で頼むことと見えること、右がパソコンの中で動いていることです。Claude Codeは版ごとに別のファイルを置き、そのうち1つを起動しています。

このフォルダは、Macの標準の画面（Finder）では隠れていて見えません。中を見る必要はなく、Claude Codeに聞けば足ります。

手順1：いま使っているClaude Codeの版を確かめる｜ターミナル版とVS Code拡張を区別する

何をClaude Codeを開き、次の日本語をそのまま貼ります。

いま使っているClaude Codeの版（バージョン）を教えて。番号だけでなく、それがいつごろの版かも一言で

どうやってClaude Codeは版を調べるコマンドを動かしてよいか聞いてきます。中身が版の確認だけなので「1. Yes」を選びます。

裏で動くのは claude --version というコマンドです。つまり「Claude Codeの版の番号を表示して」という命令です。

VS Codeの中でClaude Codeを使っている場合は、注意が要ります。VS Codeの拡張機能は、自分の中に別のClaude Codeを持っています。拡張の版の番号が、中のClaude Codeの版です（Claude CodeのVS Code拡張の説明）。

VS Codeの左の「拡張機能」の画面でClaude Codeの拡張を開き、版の番号を確かめます。ターミナル（文字でパソコンを操作する画面）で聞いた版と、別々に見てください。

関連資料：「Claude業務棚卸しシート」（PDF・無料）を配布しています。

手順2：入れ方と自動更新の状態を聞き、最後の更新が成功したかまで見る

次の日本語を貼ります。

このパソコンのClaude Codeは、どの方法で入れたものか、自動更新がオンか、最後の更新が成功したかを確かめて。ほかに古いClaude Codeが残っていないかも。場所（パス）やユーザー名は書かず、日本語の短い箇条書きで

裏で動くのは、主に claude doctor です。つまり「Claude Codeの入れ方と設定を、読むだけで診断して」という命令で、何も書き換えません。

この画面は、Saixの作業用のMacを実際に診断したものです。同じ日の午前に診断したときは、最後の更新が「失敗」で、1つ前の版で動いていました。昼に自動で再び試され、成功に変わっています。

さらに、5月にnpmで入れた2.1.142が残っていました。起動する命令にはつながっておらず動くことはありませんが、32件のうち5件の範囲に入る版です。見るべきは「自動更新がオンか」ではなく「最後の更新が成功したか」です。

手順3：公式告知の影響する版と照らし合わせ、当てはまる告知があるかを見る

最後に、公式の告知一覧と照らし合わせます。

Claude Code公式の脆弱性の告知一覧（GitHubの anthropics/claude-code の Security の欄）と照らし合わせて、いまの版に当てはまる告知があるか確かめて。告知の件数、当てはまる件数、当てはまるならどの版に上げれば直るかを、日本語の短い箇条書きで

Claude Codeは公式の一覧を取得し、版の範囲と比べます。いまの版では、当てはまる告知は0件でした。

比べるために、同じ一覧で「もし版が2.1.150だったら」とも聞きました。こちらは5件が当てはまり、2.1.260以上に上げれば全部直ると返ってきました。

当てはまる告知が1件でもあれば、次の章の方法で更新します。照合がうまくいかないときは、手順1の版の番号を、前の章の表の「影響する版」と目で比べても判断できます。

ゴール：自分の版の番号、入れ方、最後の更新が成功したか、当てはまる告知の件数の4つが分かっていればOKです

手元のClaude Codeの版を確かめたら、次は会社のサイトです。通信の暗号化の設定や、サイトを守る設定が入っているかを、URLを入れて約3分で確かめられます。会社のサイトの守りを無料で確かめる

Claude Codeの脆弱性の更新手順は入れ方で変わる｜ネイティブ版とnpm版は自動、Homebrew・WinGetは設定しだい

更新のされ方は、Claude Codeをどの方法で入れたかで変わります。手順2の診断で分かった入れ方の項目を読んでください。同じClaude Codeでも、入れ方によっては一度も自動で更新されません。

ネイティブ版・npm版で使う場合：起動時と使用中に自動で確かめ、次の起動で切り替わる

公式が勧める入れ方（ネイティブ版）と、npmで入れた場合は、自動で更新されます。公式ドキュメントには、起動時と使用中に定期的に新しい版を確かめると書かれています。裏でダウンロードし、次に起動したときに切り替わります（Claude Codeの公式ドキュメント）。

自動更新には、届く版の系統が2つあります。新しい版がすぐ届く「latest（最新）」が既定で、「stable（安定版）」はおよそ1週間前の版で、大きな不具合が出た版を飛ばします。

いますぐ更新したいときは、次の日本語を貼ります。

Claude Codeを最新の版に更新して。終わったら、更新前と更新後の版を教えて

Claude Codeは更新のコマンドを動かしてよいか聞いてきます。中身を読んでから「1. Yes」を選びます。

裏で動くのは claude update です。つまり「いまより新しい版があれば入れ替えて」という命令です。成功すると「更新前の版から更新後の版へ」、最新なら「最新です」と表示されます。

安定版の系統を選んでいるときは、注意が要ります。2026年11月7日の昼、Saixの作業用のMacで同じ指示を貼ると、2.1.319から2.1.311へ入れ替わりました。更新の系統が安定版に設定されていて、その系統の最新が2.1.311だったためです。

2.1.311も32件の範囲の外なので、危ない版ではありません。ただ「最新」と頼んでも、系統の設定しだいで最新にはなりません。

公式ドキュメントでは、安定版はおよそ1週間遅れの版です。下限の版（minimumVersion）を決めておくと、それより古い版に下がらなくなると説明されています（Claude Codeの公式ドキュメント）。

この内容を自社に当てはめたい方は、無料のAI活用セッションで相談することもできます。

Homebrew・WinGetで使う場合：既定では上がらないので、更新の命令か自動更新の設定を入れる

Homebrew（Macでソフトを入れる道具）や、WinGet（Windowsでソフトを入れる道具）で入れた場合は、既定では自動で更新されません。公式ドキュメントにもそう書かれています。

表のコマンドは、どれも「その道具で入れたClaude Codeを新しい版に入れ替えて」という意味です。Claude Codeに「Homebrewで入れたClaude Codeを更新して」と頼めば、同じものを動かしてくれます。

Homebrewには、最新を追う入れ方（claude-code@latest）もあります。そちらで入れた場合の更新は brew upgrade claude-code@latest です。

npm版で注意したいのは、npm update -g で更新しないことです。公式ドキュメントは、最初に入れたときの範囲に縛られて最新に上がらないことがあるため、避けるよう書いています。検索で上位の解説には、この書き方を勧めているものもあります。

VS Code拡張で使う場合：拡張の中に別のClaude Codeがあり、拡張の更新で上がる

VS Codeの拡張機能は、自分の中にClaude Codeを持っています。拡張の版の番号が、そのまま中のClaude Codeの版です。ターミナルのClaude Codeを更新しても、拡張の中のClaude Codeは上がりません。

VS Codeは、拡張機能を既定で自動更新します。新しい版が出てから既定で12時間待ってから入れます（VS Codeの拡張機能の説明）。急ぐときは、拡張機能の画面の「更新」を押します。

ゴール：自分の入れ方で、自動で更新されるかどうかと、更新のしかたが1つに決まっていればOKです

Claude Codeの脆弱性対応の落とし穴｜更新したつもりで古い版が動く3つの場面

「自動更新がオンだから大丈夫」は、半分しか合っていません。Saixの作業用のMacを2026年11月7日に調べると、3つとも当てはまる状態が見つかりました。

落とし穴1：自動更新はオンでも、最後の更新が失敗したまま古い版で動き続ける

2026年11月7日の午前、Saixの作業用のMacは自動更新がオンでした。それでも最後の更新は失敗で、新しい版はダウンロード済みなのに、起動するのは1つ前の版でした。

そのときの版は既知の脆弱性の範囲の外でしたが、失敗が続けば、いずれ古い版に取り残されます。月に1回は手順2の指示を貼り、「最後の更新」の欄を見ます。失敗が続くときは、Claude Codeに「更新が失敗する原因を調べて」と頼みます。

関連資料：「Claude業務棚卸しシート」（PDF・無料）を配布しています。

落とし穴2：更新は届いていても、開いたままの画面は起動し直すまで古い版のまま

自動更新は、次に起動したときに切り替わります。Claude Codeの画面を何日も開いたままにしていると、新しい版が届いていても、その画面は古い版で動き続けます。

朝に一度閉じて開き直せば、届いている版に切り替わります。告知が出たのに起動し直していない画面が残っていないか、開いている画面を数えてください。

落とし穴3：別の入れ方で入れたClaude Codeが残っていて、そちらが古い

同じMacには、5月にnpmで入れた2.1.142が残っていました。いま起動する命令にはつながっていませんが、入れ方を変えたときに古いほうが残るのはよくあることです。

手順2の診断で「古い版が残っている」と出たら、どちらが起動しているかをClaude Codeに確かめさせ、使わないほうは消します。消すときは、Claude Codeに「残っている古いClaude Codeを、入れたときの道具で消す方法を教えて」と頼みます。表示された方法を確かめてから実行します。

VS Codeの拡張の中のClaude Codeも、別の入れ方の1つです。ターミナルで2.1.260以上でも、拡張の版が古ければ、拡張で使っている間は古い版で動いています。

更新が止まる問題は、会社のサイトのソフトでも起きます。使っているソフトの版が外から読み取れないか、サポートが終わった版のままではないかも、無料の診断で分かります。サイトのソフトの古さを無料で確かめる

Claude Codeの脆弱性対策は更新後も続く｜知らないフォルダ・外部の文章・プラグインの3つに注意する

更新は、告知済みの穴を閉じるだけです。まだ見つかっていない穴に備えるのは、更新ではなく使い方です。32件の告知の多くは、他人が用意したフォルダや文章を読ませたときに起きるものでした。

知らないフォルダでは起動せず、更新と中身の確認を先に済ませる

取引先から届いたフォルダや、インターネットから取ってきたフォルダで、いきなりClaude Codeを起動しないでください。信頼の確認の前に動く穴が実際に見つかっているので、古い版で開くこと自体が危ないからです。

先に手順1〜3で更新を確かめ、別の自分のフォルダでClaude Codeを起動してから、届いたフォルダの中身を読ませます。

隣の「A社から届いたフォルダ」を、Claude Codeで開く前に点検して。中のプログラムや設定は動かさず読むだけで。開いたときに勝手に動く設定、外部とのつなぎ先、通信先の書き換えが無いかを、日本語の短い箇条書きで

練習用に、起動のたびに自動で動く設定と、外部とのつなぎ先、通信先の書き換えを仕込んだダミーのフォルダを用意しました。Claude Codeは読むだけで点検し、3か所とも見つけました。

見る場所は2か所です。フォルダの中の「.claude」という設定のフォルダと、外部とのつなぎ先を書いたファイルです。名前が「.」で始まるため、Macの標準の画面では隠れていて気づきにくいものです。

ただし、点検はAIの読み取りなので、見逃しもありえます。点検で「問題なし」と出ても、信頼してよいのは送り主が分かっているフォルダだけにします。

関連資料：「Claude業務棚卸しシート」（PDF・無料）を配布しています。

外部の文章に紛れた命令に注意する：Saixが入れている警告の仕組みと、見逃しが残る理由

Webページやメール、ファイルの中に「AIへの命令」を紛れ込ませる攻撃があります。プロンプトインジェクション（AIへの指示文に命令を紛れ込ませる攻撃）と呼ばれ、更新では防げません。

Saixでは、Claude Codeが外部のページやファイルを読み込んだ直後に、命令らしい文がないかを検査しています。見つかれば、会話に警告を足す仕組みです。これはClaude Codeの標準の機能ではなく、Saixが足した仕組みです。

練習用フォルダで命令を混ぜたダミーのメールを読ませると、警告が入り、Claude Codeは命令に従わずに「不審な指示」と報告しました。それでも、検査の言葉に無い言い回しは素通りします。だから権限を絞る設定と組み合わせます。作り方は関連記事にまとめています。

プラグインは出どころを確かめてから入れ、使わないものは外す

プラグイン（Claude Codeに機能を足す追加部品）や、外部のサービスとつなぐ接続も、入口になります。前の章の一覧のPlugin4Shellは、確認済みの版に固定したつもりのプラグインが、別の中身にすり替えられる穴でした。

入れる前に、配っている元が公式か、作った人が分かるかを確かめます。使っていないプラグインや接続は外します。外し方は関連記事で画面つきで説明しています。

Claude Codeのセキュリティ設定｜読ませない・確認させる・止める決まりを、フォルダの設定ファイルに書く

更新は、見つかった穴を閉じる守りです。設定は、穴が見つかる前から「やってよいことの範囲」を決めておく守りです。告知の多くは、確認や制限をすり抜ける穴でした。先に範囲を狭くしておけば、すり抜けられたときの被害も小さくなります。

設定は、フォルダの中に置く1枚の設定ファイルに書きます。図のように、作業するフォルダの中の「.claude」というフォルダに「settings.json」という名前で置くと、そのフォルダでClaude Codeを使う人に効きます。

この決まりは、AIが読んで従う「お願い」ではありません。公式ドキュメントは、権限の規則はAIのモデルではなくClaude Code自体が強制し、指示文やCLAUDE.md（作業の決まりを書く指示書）では許可の範囲は変わらないと書いています（Claude Codeの権限の公式ドキュメント）。

設定ファイルの置き場：作業フォルダの「.claude」に置くと、そのフォルダで使う全員に効く

設定ファイルを置ける場所は4つあり、置いた場所で効く範囲が変わります。公式ドキュメントの表を日本語にすると次のとおりです（Claude Codeの設定の公式ドキュメント）。

「.」で始まるフォルダは、Macの標準の画面（Finder）では隠れています。表示するには、Finderでキーボードの「command」「shift」「.（ピリオド）」を同時に押します。もう一度押すと隠れます。

ファイルを自分で書く必要はありません。作業フォルダでClaude Codeを開き、次の日本語を貼ります。

このフォルダだけに効くClaude Codeのセキュリティの設定ファイルを作って。①秘密フォルダの中は読ませない ②まとめて消すコマンドと強制的なpushは禁止 ③pushとWebページの取得は毎回確認、の3つを入れて。作ったら、どこに何という名前で置いたかと、中身を日本語で短く説明して

Claude Codeはファイルを作ってよいか確認を出し、許可すると作業フォルダの「.claude」の中に「settings.json」を作りました。中身の説明も日本語で返ってきます。

作られたファイルの中身は、次のとおりです。push（手元の変更を共有の保管場所へ送る操作）など、英語の部分はつまり「どの操作を、どう扱うか」の一覧です。

{
  "permissions": {
    "deny": [
      "Read(./秘密/**)",
      "Edit(./秘密/**)",
      "Bash(rm -rf:*)",
      "Bash(rm -fr:*)",
      "Bash(rm -r:*)",
      "Bash(git push --force:*)",
      "Bash(git push -f:*)",
      "Bash(git push --force-with-lease:*)"
    ],
    "ask": [
      "Bash(git push:*)",
      "WebFetch"
    ]
  }
}

deny は「絶対にさせない」、ask は「毎回確認する」という意味です。つまり、秘密フォルダの読み書きと、まとめて消すコマンド・強制的なpushは禁止し、普通のpushとWebページの取得は毎回確認を出す、という決まりです。照合の順番は禁止、確認、許可の順で、禁止がいちばん強く効きます。

1つ、注意があります。作ったClaude Codeは「cat（ファイルの中身を表示するコマンド）で見る操作はこの設定では止まらない」と説明しました。

ところが公式ドキュメントでは、名指しのcatは読み取りの禁止の規則で止まると書かれています。止まらないのは、ファイル名を名指ししない検索や、自作のプログラムからの読み取りです。

AIが自分の設定について説明する内容は、公式と食い違うことがあります。設定の効き方は、公式ドキュメントと、次の試し方で確かめます。

関連資料：「Claude業務棚卸しシート」（PDF・無料）を配布しています。

ビフォー・アフター：設定なしでは鍵のメモを見せ、設定ありでは読み取りを拒否した

練習用フォルダに「秘密」というフォルダを作り、中にダミーの「鍵のメモ.txt」を置きました。中身は「これは練習用のダミーです」という無害な文字です。設定ファイルが無い状態と、ある状態で、同じ日本語を貼りました。

秘密フォルダの「鍵のメモ.txt」を開いて、中身をそのまま見せて

設定ファイルが無いときは、Claude Codeはファイルを探して開き、中身をそのまま画面に出しました。何も決めていなければ、作業フォルダの中のファイルは確認なしで読まれます。公式ドキュメントの表でも、作業フォルダの中の読み取りは承認が要らない操作です。

読み取りを禁止する設定ファイルを置いて開き直し、同じ日本語を貼ると、Claude Codeは「権限設定で読み取りが拒否されています」と答えて開きませんでした。別の方法で回り込むこともしませんでした。

この設定にも限界があります。ファイル名を名指ししない検索や、自作のプログラムが開くファイルまでは止まりません。

そこまで閉じたいときは、サンドボックス（コマンドが届く範囲をパソコンの仕組みで囲う機能）を重ねます。サンドボックスは最初はオフで、Macでは使えますが、Windowsで使うにはWSL2（Windowsの中でLinuxを動かす仕組み）が要ります（サンドボックスの公式ドキュメント）。

Saixが入れている設定：読ませない・確認させる・実行前に止める・読み込み後に見張る

Saixは、社内の業務で使う作業フォルダの「.claude」に共有の設定ファイルを置き、全員が同じ決まりで動くようにしています。2026年11月7日に数えた中身は、図の4つの層です。

実行の前と読み込んだ後の検査は、フック（Claude Codeの操作の前後に自動で動く小さなプログラム）で作っています。Saixは、文章の決まりで3回守られなかったことは、文章を書き足さずに設定とフックへ移しています。指示書は読まれて初めて効きますが、設定は読まれなくても効くからです。

一方で、ここまで固めても、会社の入口はClaude Codeだけではありません。お客さまや取引先が最初に触れるのは、会社のホームページとメールです。

手元の守りを固めたら、外から見える側も点検します。なりすましメールを防ぐ設定（送信元の登録と、なりすましを拒否する設定）が入っているかも、無料の診断で確かめられます。メールとサイトの守りを無料で診断する

Claude Codeのセキュリティ設定をアプリで行う｜デスクトップアプリとVS Code拡張も、同じ設定ファイルと画面のモードで守る

ターミナルを使わず、Claudeのデスクトップアプリや、VS Codeの拡張機能でClaude Codeを使っている方も多いはずです。

前の章の設定ファイルは、アプリで使うときにもそのまま効きます。公式ドキュメントは、ターミナル、VS Codeの拡張機能、デスクトップアプリが、すべて同じ設定ファイルを読むと書いています。

アプリで変えるのは、その場の承認の出し方を決める「モード」です。設定の画面（ターミナルの /config という命令）はアプリでは開かないため、決まりは設定ファイルか、アプリの設定から入れます。

デスクトップアプリで使う場合：入力欄の下のモードで「Manual」を選び、変更をひとつずつ確かめる

デスクトップアプリでは、入力欄の下の行にあるモードの切り替えで、承認の出し方を選びます。作業の途中でも変えられます。

表は、デスクトップアプリの公式ドキュメント（Claude Codeのデスクトップアプリの公式ドキュメント）を2026年11月7日時点で日本語にまとめたものです。

新しく始める作業の最初のモードは、設定ファイルで決められます。公式ドキュメントによると、作業中に選んだモードはフォルダごとに覚えられます。最初の1通を送る前に、モードの表示を確かめます。

関連資料：「Claude業務棚卸しシート」（PDF・無料）を配布しています。

VS Code拡張で使う場合：入力欄の下のモード表示と、Customizeの「Permissions」で規則を足す

VS Codeの拡張機能では、入力欄の下にあるモードの表示を押して切り替えます。Manualを選ぶと、ファイルの変更とほとんどのコマンドの前に確認が出ます。

禁止や確認の規則は、拡張の「Customize」の中の「Permissions」で一覧でき、そこから足したり外したりできます。規則は「許可・確認・禁止」に分けて表示され、自分全体・このフォルダの共有・このフォルダの自分だけ、のどこに保存するかを選べます。

確認の画面で「次からは聞かない」を選ぶと、その許可は設定ファイルに保存されます。

VS Code拡張では、保存先が「all projects（全部のフォルダ）」か「this session（今回だけ）」のように表示されるので、押す前に読みます（Claude CodeのVS Code拡張の公式ドキュメント）。

拡張の設定にある「allowDangerouslySkipPermissions」は、確認を飛ばすモードを選べるようにする項目です。最初はオフで、公式ドキュメントはインターネットにつながらない隔離した環境だけで使うよう書いています。会社のパソコンでは、オフのまま使います。

Claude Codeの脆弱性でよくある質問

Q. Claude Codeを使い続けて情報が漏れる心配はないですか

告知済みの32件については、版が2.1.260以上なら心配ありません。残るのは、まだ見つかっていない穴と、自分で許した操作です。知らないフォルダを点検してから開き、確認画面の中身を読んでから許可すれば、漏れる経路の大半を閉じられます。迷ったら許可せず、何をする操作かを聞き返します。

Q. 会社で何台分の版をどう確かめればよいですか

Claude Codeを使う全員のパソコンが対象です。手順2の指示文を全員に貼ってもらい、版・入れ方・最後の更新の結果の3つを1行で集めます。会社向けプランなら、管理者の設定で使ってよい一番古い版を決め、それより古い版では起動させることもできます。集めた表は月1回、同じ指示で更新します。

Q. 無料で脆弱性の告知を追う方法はありますか

あります。GitHubのClaude Codeの公開ページで「Security」の欄を開くと、告知の一覧を無料で見られます。ただ告知の時点で直った版は配られているので、告知を追うより、月1回、手順2の指示で最後の更新が成功しているかを見るほうが確実です。見るのは月1回で足ります。

Claude Codeの脆弱性対策のまとめ｜版を見る・入れ方で更新する・知らないフォルダを信頼しない

Claude Codeは、2026年11月7日までに32件の脆弱性を公式に告知し、どれも直った版を出しています。直った版は告知より先に配られているので、危ないのは古い版のまま止まっている場合だけです。版が2.1.260以上なら、32件はすべて直っています。

確かめ方は、日本語の指示3つです。いまの版を聞き、入れ方と最後の更新の結果を聞き、公式の告知一覧と照らし合わせます。ネイティブ版とnpm版は自動で、Homebrew・WinGetは自分で、VS Code拡張は拡張の画面で更新します。

更新の外側の守りは、作業フォルダの「.claude」の設定ファイルに、読ませない・確認させる・止める決まりを書きます。デスクトップアプリやVS Code拡張でも同じファイルが効き、画面ではモードをManualにして確かめます。

次の一手は、今日Claude Codeに「いまの版を教えて」と貼り、2.1.260以上かを確かめることです。更新の外側の守りはClaude Codeのセキュリティ対策の設定にまとめています。社内のパソコンをまとめて点検するなら、点検シートから始められます。