Una extensión de Claude Code en Cursor plantó puertas traseras SSH

El marketplace de extensiones de Cursor sirvió copias manipuladas de la extensión Claude Code de Anthropic durante unas 11 horas el 29 de octubre de 2026. Las compilaciones intentaron abrir una puerta trasera en las máquinas de los desarrolladores a través de SSH, el protocolo de inicio de sesión remoto. Cursor dijo en su aviso de seguridad que las versiones 2.1.312 y 2.1.313 para Windows y macOS estaban afectadas, y que desinstalar la extensión «puede no ser suficiente».

Cursor es un editor de código con IA basado en VS Code, y tiene su propio marketplace de extensiones para VS Code. Quien instaló o actualizó Claude Code a través de ese marketplace durante ese periodo debería revisar su máquina.

Qué pasó

Según Cursor, las compilaciones maliciosas estuvieron disponibles el 29 de octubre entre las 2:27 y las 13:35 aproximadamente, hora del Pacífico. Cursor las retiró «inmediatamente tras la detección» y después cerró todo el marketplace «por exceso de precaución». BleepingComputer informa de que Cursor revisó otras extensiones y renovó claves de acceso antes de reabrirlo.

StepSecurity y OX Security dicen ambas que Cursor situó en 5.000 como máximo el número de usuarios que recibieron la compilación. El propio aviso de Cursor no da ninguna cifra.

«Estas versiones maliciosas de la extensión no fueron desarrolladas por Anthropic», escribió Cursor. Felix Rieseberg, de Anthropic, dijo en Hacker News que «un actor malicioso usó el acceso al marketplace de Cursor para publicar una copia manipulada de la extensión de Claude Code». Añadió que «las versiones de nuestros canales oficiales no están afectadas y esto solo afecta a los usuarios de Cursor». No se ha explicado cómo obtuvo el atacante ese acceso.

Los primeros informes también mencionaron Open VSX, npm y el VS Code Marketplace de Microsoft. Según BleepingComputer, después se confirmó que Cursor era la única fuente. David Dworken, de Anthropic, escribió que la versión 2.1.313 «nunca se publicó en OpenVSX, en el marketplace de VS Code ni en ninguno de nuestros hosts oficiales».

Qué hace el código malicioso

La carga útil está dentro del archivo extension.js de la extensión y se ejecuta en cuanto el editor carga la extensión. No hace falta ninguna sesión de Claude Code, según StepSecurity. Las empresas de seguridad que la desmontaron describen estos pasos:

Paso	Qué hace
Reconocimiento	Recopila los nombres de la máquina y del usuario, el sistema operativo, la carpeta personal, los nombres de las variables de entorno, las carpetas de trabajo, el correo electrónico de Git y la IP pública
Clave de puerta trasera	Añade a authorized_keys una clave ssh-ed25519 con el comentario svc-telemetry
Servidor SSH	Intenta activar el servidor SSH integrado, algo que, según Cursor, falla «salvo en casos sumamente inusuales»
Túnel inverso	Abre un túnel a 134.209.82.225 por el puerto 22 y reintenta aproximadamente una vez por minuto
Beacon	Envía los datos recopilados a la misma dirección por el puerto 8099
Persistencia	LaunchAgent de macOS com.apple.sysmond; tarea programada de Windows SysMon más un script de inicio

La lista de indicadores de Cursor incluye también una entrada de cron @reboot para Linux. El servidor del atacante «ya no funciona», dice Cursor. Los scripts de persistencia siguen ejecutándose después de quitar la extensión, y por eso no basta con desinstalar.

Cómo comprobar y limpiar

El aviso de Cursor ofrece una comprobación y dos scripts de limpieza:

• Compruebe si está la clave. Busque svc-telemetry en ~/.ssh/authorized_keys. En Windows, compruebe también C:\ProgramData\ssh\administrators_authorized_keys. Una coincidencia significa que la carga útil se ejecutó.
• Ejecute el script de Cursor. Use el script de macOS como el usuario afectado, no como root, y el de Windows desde PowerShell con privilegios elevados. Un código de salida distinto de cero significa que quedó algo.
• Elimine las compilaciones maliciosas. Desinstale las versiones 2.1.312 y 2.1.313. Según StepSecurity, la 2.1.314 o posterior está limpia.
• Renueve los secretos. Cambie los tokens y las claves a los que podía llegar esa máquina, trabajando desde un sistema limpio: credenciales de control de versiones, CI/CD, nube, SSH y registros de paquetes.

Qué significa esto para los desarrolladores

• Compruebe aunque solo haya actualizado. El código se ejecutó al cargarse, así que bastó una actualización rutinaria de la extensión en ese periodo. Busque en authorized_keys en cada máquina con Cursor, no solo en su portátil principal.
• Trate un túnel conectado como un compromiso total. Según StepSecurity, reconstruir es la opción más segura cuando el túnel llegó a conectarse. Revise los registros de SSH y de autenticación en busca de inicios de sesión que no reconozca.
• Sepa de qué marketplace instala. Los forks de VS Code como Cursor tienen sus propias tiendas de extensiones. El nombre de un publicador de confianza en una tienda no dice nada sobre la seguridad de otra tienda.
• Fije las versiones de las extensiones en las máquinas compartidas. Las actualizaciones automáticas entregaron esta compilación a todos a la vez. Los equipos pueden mantener las extensiones en una versión conocida y actualizar tras una revisión breve.
• Esté atento a la causa raíz. Ni Cursor ni Anthropic han dicho cómo llegó el atacante al marketplace. Hasta que lo hagan, asuma que otras extensiones de esa tienda podrían ser objetivo del mismo modo.