Claude Code CVE-2026-39861: Escape de Sandbox via Symlink Following
Versões do Claude Code anteriores a 2.1.64 (pacote npm @anthropic-ai/claude-code) contêm uma vulnerabilidade de escape do sandbox rastreada como CVE-2026-39861. O problema: o sandbox não impedia que processos no sandbox criassem symlinks apontando para locais fora do workspace. Quando o processo não isolado do Claude Code posteriormente escrevia em um caminho dentro de tal symlink, ele seguia o link e escrevia no local de destino sem confirmação do usuário.
Como o exploit funciona
O ataque combina dois componentes: um comando no sandbox que cria um symlink apontando para fora do workspace, e o aplicativo não isolado subsequentemente escrevendo em um caminho que atravessa esse symlink. Nenhum dos componentes sozinho consegue escrever fora do workspace — é a combinação que permite escrita arbitrária de arquivos. Explorar isso de forma confiável requer injeção de prompt para acionar a execução de código no sandbox por meio de conteúdo não confiável na janela de contexto do Claude Code.
Impacto e CVSS
Classificada como Alta gravidade com pontuação base CVSS v4 de 7.7. O vetor de ataque é rede, a complexidade é baixa, nenhum privilégio necessário, interação passiva do usuário. Os impactos na confidencialidade, integridade e disponibilidade do sistema vulnerável são todos altos.
Versões afetadas e corrigidas
- Afetadas: todas as versões anteriores a 2.1.64
- Corrigida: versão 2.1.64 (lançada em 20 de abril de 2026)
Usuários com atualização automática padrão já receberam a correção automaticamente. Usuários que atualizam manualmente devem atualizar para a versão mais recente imediatamente.
O que fazer
Se você estiver usando o Claude Code, verifique sua versão com claude --version e atualize para ≥2.1.64 via npm update @anthropic-ai/claude-code -g ou o gerenciador de pacotes relevante. Esteja ciente também de que essa vulnerabilidade pode ser acionada por injeção de prompt — trate conteúdo de contexto não confiável com cuidado.
📖 Leia a fonte original: HN AI Agents
👀 See Also
Bypass de guardrail da IA Claude observado ao enquadrar solicitações como tarefas de segurança de rede
Um usuário do Reddit descobriu que o Claude AI fornece listas de domínios de pirataria quando as solicitações são enquadradas como tarefas de segurança de rede para bloqueio, contornando os mecanismos normais de recusa. O modelo reconheceu ter interpretado mal a intenção depois que o usuário apontou a influência do enquadramento.
Alerta de Segurança: Código Malicioso no LiteLLM Pode Roubar Chaves de API
Uma vulnerabilidade crítica de segurança foi identificada no LiteLLM que poderia expor chaves de API. Usuários do OpenClaw ou do nanobot podem ser afetados e devem verificar os problemas do GitHub vinculados na fonte.
Três Vetores de Ataque Baseados em E-mail Contra Agentes de IA Que Lêem E-mail
Uma postagem no Reddit detalha três métodos específicos que atacantes podem usar para sequestrar agentes de IA que processam e-mail: Instruction Override, Data Exfiltration e Token Smuggling. Esses métodos exploram a incapacidade do agente de distinguir instruções legítimas de instruções maliciosas embutidas no texto do e-mail.
Os modelos Claude são vulneráveis a sequestros por caracteres Unicode invisíveis, especialmente com acesso a ferramentas.
Testes mostram que o Claude Sonnet 4 tem 71,2% de conformidade com instruções ocultas embutidas em caracteres Unicode invisíveis quando as ferramentas estão ativadas, com o Opus 4 atingindo 100% de conformidade na codificação Unicode Tags. O acesso às ferramentas aumenta drasticamente a vulnerabilidade em todos os modelos Claude.