Gefälschte Claude-Code-Erweiterung traf bis zu 5.000 Cursor-Nutzer

Im Erweiterungsmarktplatz von Cursor stand am 29. Oktober 2026 gut elf Stunden lang eine manipulierte Version der Erweiterung Claude Code zum Download bereit, und zwar von 10:27 bis 21:35 Uhr (Pariser Zeit, entspricht MEZ-Sommerzeit-Angaben der Meldung). In einem am selben Tag veröffentlichten Sicherheitshinweis erklärt Cursor, die Version 2.1.313 sei „nicht von Anthropic entwickelt“ worden. Höchstens 5.000 Nutzer hätten sie heruntergeladen; sie will das Unternehmen direkt kontaktieren.

Was die Erweiterung tat

Nach der Installation erstellte die Erweiterung ein Profil des Rechners. Sie sammelte Betriebssystem, Prozessorarchitektur, Pfad des Home-Verzeichnisses, die in Git hinterlegte E-Mail-Adresse und die öffentliche IP-Adresse und schickte alles an einen Server des Angreifers.

Danach versuchte sie, sich dauerhaften Zugang zu verschaffen. Ein im Code versteckter SSH-Schlüssel des Angreifers mit dem Namen „svc-telemetry“ wurde in die Liste der autorisierten Schlüssel eingetragen. Außerdem sollte der lokale SSH-Dienst aktiviert und ein Reverse-Tunnel geöffnet werden, also eine vom Rechner des Opfers zum Server des Angreifers aufgebaute Verbindung, über die dieser jederzeit zurückkehren kann. Ein Persistenzmechanismus sorgte dafür, dass die Schadsoftware Neustarts überstand.

Teilweise gescheitert, aber nicht harmlos

Laut Cursor führten Fehler im Schadcode dazu, dass der Tunnel scheiterte – außer im „sehr ungewöhnlichen Fall“, dass Cursor mit Administratorrechten gestartet wurde. Für die Aktivierung des lokalen SSH-Dienstes sind diese Rechte nötig, die die Erweiterung auf den meisten macOS- und Windows-Rechnern nicht besitzt.

Sauber sind betroffene Rechner dennoch nicht. Auch bei gescheitertem Tunnel fügte die Erweiterung den Schlüssel des Angreifers hinzu, installierte Persistenzskripte und übermittelte die Geräteinformationen. Cursor arbeitete nach eigenen Angaben mit dem Cloud-Anbieter des Servers zusammen, um ihn vom Netz zu nehmen.

Das Unternehmen entfernte die Version nach der Entdeckung, stoppte die Verteilung und schloss vorsorglich den gesamten Marktplatz, um zu prüfen, ob weitere Erweiterungen betroffen sind, und ihn neu aufzubauen.

Offen bleibt, wie der Angreifer eine Version unter Anthropics Namen im Marktplatz veröffentlichen konnte; dazu schweigt der Hinweis. Wer die Erweiterung am 29. Oktober installiert hat, sollte seinen Rechner als potenziell kompromittiert betrachten.