北京時間 2026 年 10 月 23 日およそ 06:18、Anthropic は GitHub で Claude Code v2.1.309 を公開した。Claude Code changelog も同日を記載している。DigIntoAI はこのリリースを実測していない。
リリースノートによれば、サンドボックス、MCP、権限まわりの複数の穴を修正している。例として、macOS / Linux のサンドボックス内 Bash が各コマンド前にサンドボックス外でシェル起動ファイルを実行していたこと、macOS の denyWrite グロブが symlink 経由のフォルダで実パスに適用されなかったこと、サンドボックスコマンドと自動承認の編集が --mcp-config で渡した MCP 設定ファイルを書き換えられたこと、およびサブシェルを含む一部コマンドで Edit(path) deny が Bash リダイレクトを止められなかったことが挙がる。
同リリースは claude ultrareview にワークスペース信頼を必須化した。端末では確認し、それ以外は拒否する。スクリプトは --trust-workspace（値なし。PR 番号や base branch はその前に置く）を渡すか、CLAUDE_CODE_DISABLE_ULTRAREVIEW_TRUST_CHECK=1 を設定する。VS Code、Slack の Claude Tag、Code Review、cloud sessions などの修正も多数ある。
DigIntoAI の関連記事は Claude Code の利用上限、Claude Code の auto-mode 設定、Anthropic、Claude でコードの攻撃対象領域を縮小 を参照。
Claude Code 2.1.309 はインストール・実測しておらず、サンドボックス、MCP、権限、ultrareview 信頼の変更も実機では確認していない。
