Claude Code

Check Point ResearchがClaude Codeのフック・MCP経由RCE脆弱性を公開 — パッチ適用済み

元記事を読む(research.checkpoint.com) ↗

Summary

Check Point Researchが、Claude Codeのフック機能・MCPサーバー設定・環境変数を悪用したリモートコード実行（RCE）およびAPIトークン窃取の脆弱性（CVE-2025-59536、CVE-2026-21852）を詳細に公開。悪意のあるリポジトリをクローンして開くだけで任意のシェルコマンド実行とAnthropicAPIキー漏洩が可能だった。Anthropicセキュリティチームと連携し、公開前に全問題がパッチ適用済み。

Key Takeaways

  • ▸ フック設定・MCP設定・環境変数の3つの攻撃経路でRCEが可能だった
  • ▸ 悪意のあるGitリポジトリのクローン＋オープンだけで攻撃成立（ユーザー操作不要）
  • ▸ Anthropic APIキーの窃取も可能だった
  • ▸ Anthropicセキュリティチームとの連携で公開前にパッチ適用完了
  • ▸ 信頼できないリポジトリでのClaude Code使用時はプロジェクト設定を事前確認すべき

Best Practice Updates

  • ✓ 信頼できないリポジトリでClaude Codeを使用する際は、`.claude/`ディレクトリ内のフック・MCP設定を事前検査する

Same Day Signals

すべて見る →

元記事の著作権は各著作者に帰属します。