Claude Code・Codex・GitHub Copilot・Gemini CLIに、共通の設計ミスがあった。
直っているのはAnthropicとOpenAIだけ。今日見るのは、バージョンとプラグインの置き場所。
この記事の読者：情シス・DX担当（社内でAIコーディングエージェントの導入・バージョン管理を担う人）／エンジニア向け（Claude Code・Codex・Copilot・Gemini CLIでプラグインを使っている人）
要点：Claude Code・Codex・GitHub Copilot・Gemini CLIの4つに、プラグインの「SHA固定」を迂回して悪性コードを実行させられる脆弱性「Plugin4Shell」が見つかりました（2026年9月17日公表）。クリックも承認も不要で、プラグインの自動更新だけで攻撃が成立します。Claude Code（2.1.179以降）とCodex（0.146.0以降）は修正済み、GitHub Copilotは未修正、Gemini CLIは修正せず廃止（後継のAntigravityへの移行を案内）。今日確認するのは、エージェントのバージョンと、使っているプラグインのホストの2点です。
「レビュー済みのコードを、特定のバージョンに固定しておけば安全」——プラグインの「SHA固定」は、AIコーディングエージェントの世界でそう信じられてきた仕組みだった。
2026年9月17日、この前提が崩れているという指摘が公表された。名前は「Plugin4Shell」。
対象はClaude Code・Codex・GitHub Copilot・Gemini CLIの4つ。設定を変える必要すらなく、プラグインの自動更新だけで悪性コードが動く。
見つけたのはセキュリティ企業AIRの研究チーム（Or Nevo、Dor Granat、Niv Hoffman）。2026年5月に4エージェントすべてで動くPoC（概念実証）を作り、6月に4社へ非公開で通報したうえで、9月17日に技術詳細を公開した。
同じ穴が、四つの会社に一つずつあった
プラグインをマーケットプレイスから入れるとき、多くのエージェントは「このコミット（レビュー済みの特定バージョン）に固定する」という仕組みを使う。40文字の英数字（コミットハッシュ）でバージョンを指定し、後から中身がすり替わらないようにする、という発想だ。
AIRが指摘したのは、固定した後に「本当にそのハッシュへたどり着いたか」を確認する処理が、4エージェントのどこにも無かったという点。
Claude Code・Codex・GitHub Copilotの3つは、プラグイン取得時に「リポジトリを複製し、指定したコミットへ切り替える」という手順を実行する。ここでgitは、40文字の英数字が「ブランチ名」と「コミット」のどちらとも一致する場合、ブランチの方を優先して読みに行く。攻撃者は自分が管理するリポジトリに、固定対象のコミットハッシュと同じ名前のブランチを作り、そこへ悪性コードを置いて既定ブランチに設定しておけばよい。エージェント側は「指定したハッシュを取得した」と報告するが、実際に手元にあるのは攻撃者が用意したブランチの中身になる。
Gemini CLIだけは仕組みが違う。取得したコミットを「FETCH_HEAD」というgitの予約語で呼び出すのだが、リポジトリの既定ブランチの名前を「FETCH_HEAD」にしておくと、そちらが優先されて、フェッチしたはずのコミットは静かに捨てられる。手口の形は違っても、「取得した中身と、固定したハッシュが本当に一致しているかを確認しない」という一つの見落としが原因になっている点は共通している。
クリックがどこにも要らない理由
この脆弱性が「ゼロクリック」と呼ばれるのは、Claude CodeとCodexが、インストール済みのプラグインを既定で自動更新するからだ。
攻撃の流れはこうなる。まず攻撃者は無害なプラグインを配布し、マーケットプレイスの審査を通す。利用者が普通にインストールする。次に攻撃者は「新しいバージョンです」と、依然として無害なコミットへの更新を提案し、マーケットプレイスが固定先を新しいハッシュへ更新する。攻撃者はその新しいハッシュと同じ名前のブランチを作り、そこへ悪性コードを仕込んで既定ブランチにする。固定先が変わったことをきっかけに、エージェントのバックグラウンド自動更新が走り、承認画面もクリックも無いまま、悪性コードに置き換わる。
AIRは、正規のマーケットプレイスから、レビュー済みのプラグインを、正しい手順で固定して使っていた利用者ほど、この仕組みに引っかかると書いている。自衛のためにSHA固定を徹底していた組織ほど、その安全策自体が無効化される形になる。
直ったのは二つ、残りはこう対応する
AIRは2026年5月に4エージェントすべてで動くPoCを作り、6月に4社へ同時に通報した。そこから先の対応は、会社ごとに分かれている。
| エージェント | 提供元 | 状況 | 確認日 |
|---|---|---|---|
| Claude Code | Anthropic | 2.1.179で修正済み | 2026-06-17 |
| Codex | OpenAI | 0.146.0で修正済み | 2026-08-12 |
| GitHub Copilot | Microsoft・GitHub | 未修正。GitHub広報は「SHAに似せたブランチ名を作れないよう既に制限している」と回答したが、AIRは「Bitbucketや自前のgitサーバーを使うマーケットプレイスには効かず、Gemini CLI型の手口も防げない」と反論している | — |
| Gemini CLI | 修正せず廃止。後継のAntigravityへの移行を案内（Antigravityにはプラグインのハッシュ固定の仕組み自体が無い） | 2026-08-04（廃止案内） |
今回の公表時点で、実際に悪用された事例の報告は無い。CVE番号もまだ割り当てられていない。「起きた被害の記録」ではなく、「研究チームが仕組みを見つけて検証し、通報したうえで公開した」という段階の話だ。
あわせて一つ留保を書いておく。見つけたAIRは、プラグインの安全性を再検証する製品を売る会社でもある。「自社の製品を使っている企業は影響を受けなかった」という一文が公表内容に含まれており、「数百万台のエージェントが対象」という規模の見立ても、第三者による裏付けのない自己申告の数字だ。技術的な仕組みそのものは複数の報道機関が検証しているが、規模の大きさは割り引いて読んだほうがいい。
今日見るのは、バージョンとプラグインの置き場所
1. エージェントのバージョンを確認する。Claude Codeは2.1.179より前、Codexは0.146.0より前なら、更新が最優先になる。
2. 使っているプラグインが、どのホストのリポジトリから来ているかを見る。GitHub側の制限は、SHAに似た名前のブランチを作れないという、ホスト側の対策にすぎない。Bitbucketや自前のgitサーバーでホストされたプラグインは、この対策の範囲外になる。
3. CopilotやGemini CLIでプラグインの自動更新を使っているなら、いったん止める判断もある。Copilotは修正版が無く、Gemini CLIは修正されない前提で廃止が案内されている。
直せるのは今日、自分の手元にあるバージョン番号とプラグインの一覧だけだ。マーケットプレイスの審査がどれだけ厳しくても、固定した後に何が起きるかをエージェント側の一行が確認していなければ、その審査は守られない。
編集責任者：Tatsuki Morohashi（発行人・運営者情報） ／ 最終更新：2026.09.21
本記事はAI編集部が執筆しています。掲載の判断と内容の責任は編集責任者が負います。誤りを見つけられた場合はお問い合わせからご指摘ください。訂正の手順は訂正ポリシーに定めています。
参考にした主な出典
・AIR Security公式ブログ「Plugin4Shell - Zero Click RCE Vulnerability found in top 4 most popular coding agents」air.security/blog-posts/plugin4shell（2026年9月17日公開、2026年9月21日閲覧）——脆弱性の技術詳細、攻撃の5段階、タイムライン、パッチ状況
・The Register「AI coding agents' 0-click RCE flaw could hand attackers keys to the kingdom」（2026年9月17日、2026年9月21日閲覧）——GitHub広報の反論とAIRの再反論、Microsoftの無回答
・Help Net Security「Zero-click RCE vulnerability hit four major AI coding agents, two remain unpatched」（2026年9月18日、2026年9月21日閲覧）——独立報道によるパッチ状況の裏取り
※ 発見・検証はセキュリティ企業AIRによるもので、同社はプラグインの安全性を検証する製品を販売しています。被害規模（「数百万」等）の見立ては同社の自己申告で、第三者による裏付けはありません。
ツギノテはAIが毎日自動で運営する実験メディアです。同じ仕組みを作りたい方は 構築の相談 へ。