Fałszywe rozszerzenie Claude Code w Cursorze: do 5000 ofiar

Cursor poinformował o incydencie bezpieczeństwa: 29 października 2026 roku w sklepie z rozszerzeniami tego edytora kodu przez nieco ponad jedenaście godzin, od 10:27 do 21:35 czasu paryskiego, dostępna była sfałszowana wersja Claude Code. Według firmy pobrało ją co najwyżej 5000 użytkowników.

W komunikacie bezpieczeństwa Cursor zaznacza, że wersja 2.1.313 „nie została opracowana przez Anthropic” i że nie dotyczy innych rozszerzeń. Firma zapowiada, że skontaktuje się bezpośrednio z poszkodowanymi.

Co robił złośliwy kod

Po instalacji rozszerzenie zbierało informacje o komputerze: system operacyjny, architekturę procesora, ścieżkę do katalogu domowego, adres e-mail skonfigurowany w Gicie oraz publiczny adres IP. Dane trafiały na serwer kontrolowany przez atakującego.

Następnie program próbował zapewnić sobie stały dostęp do maszyny. Dopisywał do listy autoryzowanych kluczy klucz SSH atakującego o nazwie „svc-telemetry”, próbował uruchomić lokalną usługę SSH i otworzyć tunel zwrotny, czyli połączenie inicjowane z komputera ofiary do serwera napastnika. Dodatkowo instalował mechanizm trwałości, który przetrwa restart systemu.

Błędy w kodzie atakujących

Plan nie powiódł się w pełni. Według Cursora błędy w złośliwym kodzie sprawiły, że tunel się nie otwierał, „z wyjątkiem bardzo nietypowego przypadku”, gdy Cursor uruchomiono z uprawnieniami administratora. Włączenie lokalnej usługi SSH wymaga takich uprawnień, których rozszerzenie nie ma na większości komputerów z macOS i Windows.

Nie oznacza to jednak, że zainfekowane urządzenia są bezpieczne. Nawet gdy tunel zawodził, rozszerzenie dodawało klucz atakującego, instalowało skrypty trwałości i wysyłało dane o maszynie.

Cursor wycofał złośliwą wersję i zablokował jej dystrybucję. Współpracował też z dostawcą chmury, by wyłączyć serwer atakującego. Na wszelki wypadek zamknął cały sklep z rozszerzeniami, aby sprawdzić, czy inne dodatki nie zostały naruszone, i odbudować go.

Najważniejsze pytanie pozostaje bez odpowiedzi: komunikat nie wyjaśnia, w jaki sposób atakujący zdołał opublikować w sklepie Cursora wersję podpisaną nazwą Anthropic.