Claude Code 2.1.309 corregge le vulnerabilità che consentivano di aggirare la sandbox e i controlli delle autorizzazioni e cambia la gestione di `sed -i` e `rm`

Claude Code v2.1.309, rilasciato il 22 ottobre 2026, secondo le note di rilascio:

• Correzioni per sandbox e autorizzazioni: i comandi Bash eseguiti nella sandbox su macOS e Linux non avviano più i file di inizializzazione della shell al di fuori della sandbox prima di ogni comando; su macOS, i pattern denyWrite ora si applicano anche quando si raggiunge la cartella tramite un link simbolico; i comandi nella sandbox e le modifiche accettate automaticamente non possono più modificare il file passato con --mcp-config; su Linux, i divieti di scrittura della sandbox non vengono più rimossi quando un comando in background continua a essere eseguito dopo la fine della sessione. Ora richiedono una conferma anche diversi controlli delle autorizzazioni per Bash e PowerShell che prima non la chiedevano (comandi composti con cd prima di git, una regola di divieto aggirata tramite un reindirizzamento in un comando con una subshell, Set-Location o cd con argomenti aggiuntivi); inoltre, le protezioni di isolamento dei worktree rifiutano alcuni comandi con prefisso locale e comandi aritmetici di zsh che prima accettavano.
• Modifiche al comportamento: sed -i ora mostra la consueta richiesta di conferma di Bash e viene eseguito così com'è, anziché essere simulato come anteprima di modifica del file; /rewind non lo ripristina più. claude ultrareview richiede che l'area di lavoro sia attendibile: lo chiede nel terminale e, in caso contrario, rifiuta di procedere; gli script devono passare --trust-workspace o impostare CLAUDE_CODE_DISABLE_ULTRAREVIEW_TRUST_CHECK=1. In modalità di autorizzazioni bypass nell'app Desktop e in VS Code, la richiesta di conferma per i pericolosi rm e rmdir ora nega subito il comando e suggerisce una riscrittura. I comandi che le impostazioni escludono dalla sandbox ora chiedono conferma prima di scrivere nei percorsi della lista di scrittura quando la sandbox è abilitata ma non può essere avviata. Se un file CLAUDE.md annidato supera il limite di dimensione, ora viene caricato solo l'inizio.
• Altre correzioni: gli hook in PowerShell ora bloccano l'esecuzione con codice di uscita 2; i messaggi delle sessioni ospitate da Claude Desktop non vengono più persi quando si aggiorna la connessione; Claude non menziona più utenti GitHub estranei usando nomi di ruoli come menzioni; inoltre, sono state apportate correzioni per VS Code, le sessioni cloud, Claude Tag in Slack e Code Review.
• Miglioramenti: molti comandi Git eseguiti direttamente da Claude Code sono più veloci su Windows e gli errori di disco pieno ora indicano quale cartella svuotare.