Claude-Code-Erweiterung in Cursor platzierte SSH-Hintertüren

Der Erweiterungs-Marktplatz von Cursor lieferte am 29. Oktober 2026 etwa 11 Stunden lang manipulierte Kopien von Anthropics Claude-Code-Erweiterung aus. Die Builds versuchten, über SSH, das Protokoll für die Anmeldung aus der Ferne, eine Hintertür in die Rechner von Entwicklern zu öffnen. Cursor erklärte in seinem Sicherheitshinweis, dass die Versionen 2.1.312 und 2.1.313 für Windows und macOS betroffen waren und dass das Deinstallieren der Erweiterung „möglicherweise nicht ausreicht“.

Cursor ist ein KI-Code-Editor auf Basis von VS Code und betreibt einen eigenen Marktplatz für VS-Code-Erweiterungen. Wer in diesem Zeitfenster Claude Code über diesen Marktplatz installiert oder aktualisiert hat, sollte seinen Rechner prüfen.

Was passiert ist

Laut Cursor waren die bösartigen Builds am 29. Oktober zwischen etwa 2:27 Uhr und 13:35 Uhr pazifischer Zeit verfügbar. Cursor entfernte sie „unmittelbar nach der Erkennung“ und schaltete dann den gesamten Marktplatz „aus übergroßer Vorsicht“ ab. BleepingComputer berichtet, dass Cursor andere Erweiterungen prüfte und Zugriffsschlüssel austauschte, bevor es den Marktplatz wieder öffnete.

StepSecurity und OX Security sagen beide, Cursor habe die Zahl der Nutzer, die den Build erhielten, auf höchstens 5.000 beziffert. Der eigene Hinweis von Cursor nennt keine Zahl.

„Diese bösartigen Versionen der Erweiterung wurden nicht von Anthropic entwickelt“, schrieb Cursor. Felix Rieseberg von Anthropic sagte auf Hacker News: „Ein böswilliger Akteur hat den Zugriff auf den Marktplatz von Cursor genutzt, um eine manipulierte Kopie der Claude-Code-Erweiterung zu veröffentlichen.“ Er fügte hinzu: „Die Versionen auf unseren offiziellen Kanälen sind nicht betroffen, und das wirkt sich nur auf Cursor-Nutzer aus.“ Wie der Angreifer an diesen Zugriff kam, ist nicht erklärt worden.

Frühe Berichte nannten auch Open VSX, npm und Microsofts VS Code Marketplace. BleepingComputer zufolge wurde später bestätigt, dass Cursor die einzige Quelle war. David Dworken von Anthropic schrieb, 2.1.313 sei „nie auf OpenVSX, im VS-Code-Marketplace oder auf einem unserer offiziellen Hosts veröffentlicht worden“.

Was der bösartige Code tut

Der Schadcode steckt in der Datei extension.js der Erweiterung und läuft, sobald der Editor die Erweiterung lädt. Laut StepSecurity ist dafür keine Claude-Code-Sitzung nötig. Sicherheitsfirmen, die ihn auseinandergenommen haben, beschreiben diese Schritte:

Schritt	Was er tut
Erkundung	Sammelt Rechner- und Benutzernamen, Betriebssystem, Home-Ordner, Namen von Umgebungsvariablen, Arbeitsordner, Git-E-Mail-Adresse und öffentliche IP-Adresse
Hintertür-Schlüssel	Fügt einen ssh-ed25519-Schlüssel mit dem Kommentar svc-telemetry zu authorized_keys hinzu
SSH-Server	Versucht, den eingebauten SSH-Server einzuschalten, was laut Cursor „außer in höchst ungewöhnlichen Fällen“ scheitert
Reverse-Tunnel	Öffnet einen Tunnel zu 134.209.82.225 auf Port 22 und versucht es etwa einmal pro Minute erneut
Beacon	Sendet die gesammelten Daten an dieselbe Adresse auf Port 8099
Persistenz	macOS-LaunchAgent com.apple.sysmond; geplante Windows-Aufgabe SysMon plus ein Autostart-Skript

Die Indikatorenliste von Cursor enthält außerdem einen Cron-Eintrag mit @reboot für Linux. Der Server des Angreifers „funktioniert nicht mehr“, sagt Cursor. Die Persistenzskripte laufen nach dem Entfernen der Erweiterung weiter, weshalb Deinstallieren allein nicht ausreicht.

So prüfen und bereinigen Sie

Der Hinweis von Cursor enthält eine Prüfung und zwei Bereinigungsskripte:

• Nach dem Schlüssel suchen. Suchen Sie in ~/.ssh/authorized_keys nach svc-telemetry. Prüfen Sie unter Windows auch C:\ProgramData\ssh\administrators_authorized_keys. Ein Treffer bedeutet, dass der Schadcode lief.
• Das Skript von Cursor ausführen. Nutzen Sie das macOS-Skript als betroffener Benutzer, nicht als root, und das Windows-Skript in einer PowerShell mit Administratorrechten. Ein Exit-Code ungleich null bedeutet, dass etwas zurückgeblieben ist.
• Die bösartigen Builds entfernen. Deinstallieren Sie 2.1.312 und 2.1.313. Laut StepSecurity ist 2.1.314 oder neuer sauber.
• Geheimnisse austauschen. Ändern Sie die Tokens und Schlüssel, auf die dieser Rechner zugreifen konnte, und arbeiten Sie dabei von einem sauberen System aus: Zugangsdaten für Quellcodeverwaltung, CI/CD, Cloud, SSH und Paket-Registries.

Was das für Entwickler bedeutet

• Auch prüfen, wenn Sie nur aktualisiert haben. Der Code lief beim Laden, daher reichte schon ein routinemäßiges Erweiterungs-Update in diesem Zeitfenster. Durchsuchen Sie authorized_keys auf jedem Rechner mit Cursor, nicht nur auf Ihrem Haupt-Laptop.
• Einen verbundenen Tunnel als vollständige Kompromittierung behandeln. Laut StepSecurity ist ein Neuaufsetzen die sicherere Wahl, wenn der Tunnel eine Verbindung hergestellt hat. Prüfen Sie die SSH- und Auth-Logs auf Anmeldungen, die Sie nicht kennen.
• Wissen, von welchem Marktplatz Sie installieren. Forks von VS Code wie Cursor betreiben eigene Erweiterungs-Stores. Ein vertrauenswürdiger Publisher-Name in einem Store sagt nichts über die Sicherheit eines anderen Stores aus.
• Erweiterungsversionen auf gemeinsam genutzten Rechnern festsetzen. Automatische Updates lieferten diesen Build an alle gleichzeitig aus. Teams können Erweiterungen auf einer bekannten Version halten und erst nach einer kurzen Prüfung aktualisieren.
• Auf die Klärung der Ursache achten. Weder Cursor noch Anthropic hat gesagt, wie der Angreifer den Marktplatz erreicht hat. Gehen Sie bis dahin davon aus, dass andere Erweiterungen in diesem Store auf dieselbe Weise angegriffen werden könnten.