Cursorに偽Claude Code拡張機能、最大5000人が影響

コードエディタ「Cursor」は、2026年10月29日に自社の拡張機能マーケットプレイスで、Anthropicのコーディング支援AI「Claude Code」を装った悪意ある拡張機能が11時間余り配布されていたと発表した。最大5000人のユーザーがダウンロードした可能性があるという。

同社が当日公表したセキュリティ告知によると、問題のバージョン2.1.313は「Anthropicが開発したものではない」。公開時間はパリ時間の午前10時27分から午後9時35分まで。Cursorは影響を受けた可能性のあるユーザーに直接連絡する方針だ。

拡張機能の挙動

インストールされると、まず端末の情報を収集する。OS、CPUアーキテクチャ、ホームディレクトリのパス、Gitに設定されたメールアドレス、グローバルIPアドレスなどを、攻撃者が管理するサーバーへ送信していた。

さらに、コード内に仕込まれた攻撃者のSSH鍵「svc-telemetry」を接続許可リストに追加。ローカルのSSHサービスを有効化し、リバーストンネルの確立も試みた。これにより攻撃者は好きなときに端末へ入り込める。再起動後も動作し続けるための永続化の仕組みも導入されていた。

ただしCursorによれば、悪意あるコードの不具合でトンネルの確立は失敗した。例外は「Cursorが管理者権限で起動されていたきわめてまれなケース」のみ。SSHサービスの有効化には管理者権限が必要で、macOSやWindowsの大半の環境では拡張機能にその権限がない。

とはいえ、影響を受けた端末が無事とは言えない。トンネルが失敗しても、攻撃者の鍵の追加、永続化スクリプトの設置、端末情報の送信は実行されていたという。

Cursorの対応

Cursorは検知後、問題のバージョンを削除して配布を止め、念のためマーケットプレイス全体を閉鎖した。他の拡張機能が侵害されていないかを確認し、再構築するためだという。また、不正サーバーを運用するクラウド事業者と協力し、サーバーをオフラインにした。

最大の疑問は残されたままだ。告知では、攻撃者がどのようにしてAnthropicの名義でマーケットプレイスに公開できたのかは説明されていない。