今週の Claude Code・Codex・Gemini CLI 変更点まとめ(2026年9月13日週)

今週は 3 ツールとも、機能追加より権限とセキュリティの穴をふさぐ修正が目立ちました。とくに影響が大きいのは Claude Code 2.1.268 で、deny ルールが効かないケースが 2 種類修正されています。deny を前提にコードベースを守っている場合は、更新を優先してください。

対象は Claude Code 2.1.268 / 2.1.269、Codex CLI 0.154.0、Gemini CLI 0.59.0 です。

Claude Code

2.1.269

機能追加が中心のリリースです。

• claude plugin eval: プラグインの eval スイートを Claude Code に対して実行し、採点済みで再現性のある結果(JSON と HTML レポート)を得られます。claude plugin eval --help で使い方を確認できます
• /output-style [name]: 出力スタイルの一覧表示と切り替えができます。Remote Control 経由やクラウド・ヘッドレスセッションでも使えます
• Bash の差分表示: Bash ツールがファイル編集を扱ったとき、変更されたファイルの差分がツール結果に含まれるようになりました。設定キーは bashEditDiffEnabled です
• CLAUDE_CODE_WORKFLOW_MAX_CONCURRENT_AGENTS: Workflow ツールの 1 実行あたりの同時エージェント数の上限を 1〜256 の範囲で引き上げられます

権限に関する修正も 1 件入りました。! で始まる deny / ask ルールが、それを書いた設定ソースの外まで適用されてしまう問題が修正され、そのソース内だけに適用されるようになりました。単独の ! による否定は無視されます。

CLAUDE_CODE_BG_TASKS_REPORT_RUNNING=0 を設定すると、バックグラウンドエージェントの実行中にリモート・ヘッドレスセッションが「入力待ち」と報告していた従来の挙動に戻せます。

2.1.268

今週いちばん重要なリリースです。deny ルールがすり抜けていた 2 つのケースが修正されました。

1. シンボリックリンク経由のパス: macOS の /etc、/tmp、/var、Linux の /bin のようなシンボリックリンクされたディレクトリに対する deny / ask ルールが、実体のパスで指定されたときに適用されていませんでした。逆に、シンボリックリンク側の綴りで書いた deny ルールを Bash コマンドが無視する問題もありました
2. env -C や eval との併用: 権限チェッカーが解析できないコマンドが同じ行にある場合、Read や Edit の deny ルールが適用されないケースがありました

どちらも「書いたはずの禁止が効いていない」という種類の問題です。deny で .env や認証情報を守る設計にしている場合は、settings.json で permissions を設計する の内容が前提どおりに動くよう、更新してください。

秘密情報の漏れも 2 件ふさがれました。

• /mcp と /plugin のサーバー詳細、claude mcp list / get、MCP のログインエラーが、MCP 設定の ${VAR} プレースホルダから解決した秘密情報をそのまま表示していた問題
• プラグインとマーケットプレースのエラーが、git のソース URL に含まれるトークンやパスワードを表示していた問題

MCP 設定に環境変数で値を渡している場合は .mcp.json で環境変数を安全に渡す の運用が前提どおりになります。

そのほか、実務に影響する修正は次のとおりです。

変更	影響
サードパーティの Anthropic 互換エンドポイント(ANTHROPIC_BASE_URL)で全ターンが HTTP 400 になる問題を修正	2.1.265 以降で影響。該当構成なら更新が必須
WebFetch が応答を閉じないサーバーで無限に待つ問題を修正。300 秒で失敗するようになった	CLAUDE_CODE_WEBFETCH_DEADLINE_MS で変更可(0 で無効)
長時間アイドルのセッションが CPU コアを占有し続ける問題を修正	常駐運用で効く

Codex

CLI 0.154.0

新機能は次のとおりです。

• GPT-6-Astra がモデルピッカーと Amazon Bedrock のカタログで選べるようになりました
• worktree サポート(実験的): --worktree または /worktree で、新規セッションやフォークしたセッション用の独立したチェックアウトを作成し、あとから一覧・再開できます
• 作業中のインライン回答: Codex が作業を続けたまま、候補の選択肢または自由入力で質問に答えられます。書きかけの入力は失われません
• Windows のバックグラウンドサーバー共有: Windows のセッションがバックグラウンドの Codex サーバーを共有できるようになり、デーモンのライフサイクル操作と管理された更新が入りました

信頼(trust)まわりの修正も入っています。起動時にワークスペースが信頼される前に PATH 上のヘルパーを実行しないようになり、macOS のサンドボックスがターミナルへの入力注入をブロックするようになりました。承認の扱いについては Codex の承認モードとサンドボックス を参照してください。

Python SDK(openai-codex==0.154.0)側では、推論の強度に max と ultra の値が追加されました。移行時の注意として、HookMetadata がハンドラを .root でラップするようになっています。hook.command のようなアクセスは hook.root.command に書き換え、ハンドラ固有のフィールドを読む前に hook.root.handler_type を確認してください。

Gemini CLI

0.59.0

リリースノートに載っている実質的な変更は 2 件で、どちらもセキュリティ修正です。

• MCP の OAuth メタデータ探索と認証における SSRF を防止(PR #29081)
• ワークスペース信頼を fail-closed にし、制限モードで mcpServers を除外(PR #29099)

2 件目は、信頼されていないワークスペースで MCP サーバーの定義が読み込まれないようにするものです。リポジトリを clone してすぐ Gemini CLI を起動する使い方をしている場合、挙動が変わる可能性があります。MCP の設定は Gemini CLI で MCP サーバーを使う にまとめています。

今すぐ確認したいこと

• Claude Code を 2.1.268 以降に更新する(deny ルールのすり抜け修正)
• deny ルールをシンボリックリンクされたパス(/tmp、/var など)に書いている場合、意図どおり効くか確認する
• ANTHROPIC_BASE_URL でサードパーティのエンドポイントを使っている場合、2.1.265〜2.1.267 に留まっていないか確認する
• codex mcp-server をスクリプトで使っていないか grep する
• Gemini CLI を使っていて、信頼していないワークスペースで MCP サーバーを読ませていないか確認する

まとめ

• 今週は 3 ツールとも権限・セキュリティ修正が中心で、機能追加は Codex が最多
• Claude Code 2.1.268 は deny ルールのすり抜けを 2 件修正しており、更新の優先度が高い
• /mcp や claude mcp list が ${VAR} から解決した秘密情報を表示する問題も同リリースで修正された
• Codex 0.154.0 は codex mcp-server を削除した破壊的変更を含む。worktree と GPT-6-Astra が追加
• Gemini CLI 0.59.0 は MCP の SSRF 修正と fail-closed なワークスペース信頼の 2 件