Cursor上のClaude Code拡張機能、SSHバックドアを仕込む

Cursorの拡張機能マーケットプレイスは、2026年10月29日の約11時間にわたり、AnthropicのClaude Code拡張機能の改ざんされたコピーを配布していました。これらのビルドは、リモートログイン用のプロトコルであるSSHを使い、開発者のマシンにバックドアを開こうとしました。Cursorはセキュリティ告知で、WindowsとmacOS向けのバージョン2.1.312と2.1.313が影響を受けたと説明しました。また、拡張機能をアンインストールしても「十分ではない可能性がある」としています。

Cursorは、VS Codeをベースに作られたAIコードエディターです。VS Code用拡張機能のマーケットプレイスも、独自に運営しています。この時間帯に、そのマーケットプレイスからClaude Codeをインストールまたは更新した人は、自分のマシンを確認してください。

何が起きたか

Cursorによると、悪意あるビルドは10月29日の太平洋時間で、午前2時27分ごろから午後1時35分ごろまで入手できました。Cursorは「検知後ただちに」これらを削除しました。そのうえで、「念のため」マーケットプレイス全体を停止しました。BleepingComputerによると、Cursorはマーケットプレイスを再開する前に、ほかの拡張機能を確認し、アクセスキーをローテーションしました。

StepSecurityとOX Securityはどちらも、ビルドを受け取ったユーザーは最大5,000人とCursorが見積もったと伝えています。Cursor自身の告知には、数字は示されていません。

「この拡張機能の悪意あるバージョンは、Anthropicが開発したものではない」とCursorは書いています。AnthropicのFelix Rieseberg氏はHacker Newsで、「悪意ある攻撃者が、Cursorのマーケットプレイスへのアクセスを使って、改ざんしたClaude Code拡張機能のコピーを公開した」と述べました。さらに、「当社の公式チャネルのバージョンは影響を受けておらず、影響を受けるのはCursorのユーザーだけだ」と付け加えました。攻撃者がどうやってそのアクセスを得たのかは、まだ説明されていません。

初期の報道では、Open VSX、npm、MicrosoftのVS Code Marketplaceの名前も挙がっていました。BleepingComputerによると、その後、Cursorだけが入手元だったと確認されました。AnthropicのDavid Dworken氏は、2.1.313は「OpenVSXにも、VS Codeのマーケットプレイスにも、当社の公式ホストのどこにも、一度も公開されていない」と書いています。

悪意あるコードの動き

ペイロードは、拡張機能のextension.jsファイルの中にあります。エディターが拡張機能を読み込むと、すぐに実行されます。StepSecurityによると、Claude Codeのセッションは必要ありません。これを解析したセキュリティ企業は、次の手順を説明しています。

手順	動作
偵察	マシン名とユーザー名、OS、ホームフォルダー、環境変数の名前、作業フォルダー、Gitのメールアドレス、パブリックIPアドレスを収集する
バックドア用の鍵	コメントがsvc-telemetryのssh-ed25519鍵をauthorized_keysに追加する
SSHサーバー	組み込みのSSHサーバーを有効にしようとする。Cursorによると、この試みは「きわめて特殊な場合を除いて」失敗する
リバーストンネル	134.209.82.225のポート22へのトンネルを開き、約1分に1回、再試行する
ビーコン	収集したデータを、同じアドレスのポート8099に送る
永続化	macOSのLaunchAgentcom.apple.sysmond、WindowsのスケジュールされたタスクSysMonとスタートアップのスクリプト

Cursorの侵害指標の一覧には、Linuxの@rebootのcronエントリも含まれています。攻撃者のサーバーは「もはや機能していない」とCursorは述べています。永続化用のスクリプトは、拡張機能を削除したあとも動き続けます。そのため、アンインストールだけでは十分ではありません。

確認とクリーンアップの方法

Cursorの告知には、確認方法が1つと、クリーンアップ用のスクリプトが2つ載っています。

• 鍵の有無を確認しましょう。 ~/.ssh/authorized_keysの中からsvc-telemetryを検索してください。Windowsでは、C:\ProgramData\ssh\administrators_authorized_keysも確認してください。見つかった場合は、ペイロードが実行されたということです。
• Cursorのスクリプトを実行しましょう。 macOS用のスクリプトは、rootではなく、影響を受けたユーザーとして実行してください。Windows用のスクリプトは、管理者権限で起動したPowerShellから実行してください。終了コードが0以外の場合は、何かが残っているということです。
• 問題のビルドを削除しましょう。 2.1.312と2.1.313をアンインストールしてください。StepSecurityによると、2.1.314以降はクリーンです。
• シークレットをローテーションしましょう。 そのマシンからアクセスできたトークンとキーを、クリーンなシステムから変更してください。対象は、ソース管理、CI/CD、クラウド、SSH、パッケージレジストリの認証情報です。

開発者にとっての意味

• 更新しただけでも確認しましょう。 コードは読み込み時に実行されたため、その時間帯に拡張機能を通常どおり更新しただけでも、影響を受けるには十分でした。Cursorを入れているすべてのマシンでauthorized_keysを検索してください。メインのノートPCだけで終わらせないでください。
• トンネルが接続された場合は、完全に侵害されたものとして扱いましょう。 StepSecurityによると、トンネルが接続した環境では、作り直すほうが安全な選択です。SSHと認証のログで、身に覚えのないログインがないか確認してください。
• どのマーケットプレイスから入れているかを把握しましょう。 CursorなどのVS Codeフォークは、独自の拡張機能ストアを運営しています。あるストアで信頼されている発行元の名前は、別のストアの安全性について何も示しません。
• 共有マシンでは、拡張機能のバージョンを固定しましょう。 自動更新によって、このビルドは全員に一斉に届きました。チームは、拡張機能を把握しているバージョンに据え置き、簡単なレビューを経てから更新できます。
• 根本原因が明らかになるのを注視しましょう。 攻撃者がどうやってマーケットプレイスに到達したのか、CursorもAnthropicも説明していません。説明があるまでは、そのストアのほかの拡張機能も、同じ方法で狙われる可能性があると考えてください。