Extensão do Claude Code no Cursor plantou backdoors SSH

O marketplace de extensões da Cursor serviu cópias adulteradas da extensão Claude Code, da Anthropic, por cerca de 11 horas em 29 de outubro de 2026. Os builds tentaram abrir um backdoor nas máquinas de desenvolvedores por SSH, o protocolo de login remoto. A Cursor disse em seu aviso de segurança que as versões 2.1.312 e 2.1.313 para Windows e macOS foram afetadas, e que desinstalar a extensão “pode não ser suficiente”.

O Cursor é um editor de código com IA baseado no VS Code e mantém seu próprio marketplace de extensões para o VS Code. Quem instalou ou atualizou o Claude Code por esse marketplace nesse período deve verificar a sua máquina.

O que aconteceu

Segundo a Cursor, os builds maliciosos ficaram disponíveis em 29 de outubro entre cerca de 2h27 e 13h35, no horário do Pacífico. A Cursor os removeu “imediatamente após a detecção” e depois desligou o marketplace inteiro “por excesso de cautela”. O BleepingComputer informa que a Cursor revisou outras extensões e trocou chaves de acesso antes de reabri-lo.

Tanto a StepSecurity quanto a OX Security dizem que a Cursor estimou em no máximo 5.000 o número de usuários que receberam o build. O aviso da própria Cursor não traz nenhum número.

“Essas versões maliciosas da extensão não foram desenvolvidas pela Anthropic”, escreveu a Cursor. Felix Rieseberg, da Anthropic, disse no Hacker News que “um agente malicioso usou o acesso ao marketplace da Cursor para publicar uma cópia adulterada da extensão do Claude Code”. Ele acrescentou que “as versões em nossos canais oficiais não são afetadas e isso afeta apenas usuários do Cursor”. Ainda não foi explicado como o atacante conseguiu esse acesso.

Os primeiros relatos também citaram o Open VSX, o npm e o VS Code Marketplace da Microsoft. O BleepingComputer diz que depois foi confirmado que a Cursor era a única fonte. David Dworken, da Anthropic, escreveu que a versão 2.1.313 “nunca foi publicada no OpenVSX, no marketplace do VS Code nem em nenhum dos nossos hosts oficiais”.

O que o código malicioso faz

A carga útil fica dentro do arquivo extension.js da extensão e roda assim que o editor carrega a extensão. Não é preciso nenhuma sessão do Claude Code, segundo a StepSecurity. As empresas de segurança que a desmontaram descrevem estas etapas:

Etapa	O que faz
Reconhecimento	Coleta nomes da máquina e do usuário, sistema operacional, pasta pessoal, nomes de variáveis de ambiente, pastas de trabalho, e-mail do Git e IP público
Chave de backdoor	Adiciona uma chave ssh-ed25519 com o comentário svc-telemetry ao authorized_keys
Servidor SSH	Tenta ativar o servidor SSH embutido, o que, segundo a Cursor, falha “fora de casos altamente incomuns”
Túnel reverso	Abre um túnel para 134.209.82.225 na porta 22, tentando de novo cerca de uma vez por minuto
Beacon	Envia os dados coletados para o mesmo endereço na porta 8099
Persistência	LaunchAgent do macOS com.apple.sysmond; tarefa agendada do Windows SysMon mais um script de inicialização

A lista de indicadores da Cursor inclui também uma entrada do cron @reboot para Linux. O servidor do atacante “não funciona mais”, diz a Cursor. Os scripts de persistência continuam rodando depois que a extensão é removida, e é por isso que só desinstalar não basta.

Como verificar e limpar

O aviso da Cursor traz uma verificação e dois scripts de limpeza:

• Verifique se a chave está lá. Procure svc-telemetry em ~/.ssh/authorized_keys. No Windows, verifique também C:\ProgramData\ssh\administrators_authorized_keys. Uma correspondência significa que a carga útil foi executada.
• Execute o script da Cursor. Use o script do macOS como o usuário afetado, não como root, e o script do Windows em um PowerShell com privilégios elevados. Um código de saída diferente de zero significa que algo ficou para trás.
• Remova os builds maliciosos. Desinstale as versões 2.1.312 e 2.1.313. Segundo a StepSecurity, a 2.1.314 ou mais recente está limpa.
• Troque os segredos. Mude os tokens e as chaves que essa máquina conseguia alcançar, trabalhando a partir de um sistema limpo: credenciais de controle de versão, CI/CD, nuvem, SSH e registros de pacotes.

O que isso significa para desenvolvedores

• Verifique mesmo que você só tenha atualizado. O código rodou ao carregar, então uma atualização de rotina da extensão naquela janela já bastava. Procure em authorized_keys em cada máquina com Cursor, não só no seu notebook principal.
• Trate um túnel conectado como um comprometimento total. Segundo a StepSecurity, reconstruir é a escolha mais segura onde o túnel se conectou. Confira os logs de SSH e de autenticação em busca de logins que você não reconheça.
• Saiba de qual marketplace você instala. Forks do VS Code como o Cursor têm suas próprias lojas de extensões. O nome de um publisher confiável em uma loja não diz nada sobre a segurança de outra loja.
• Fixe as versões das extensões em máquinas compartilhadas. As atualizações automáticas entregaram este build a todos de uma vez. As equipes podem manter as extensões em uma versão conhecida e atualizar depois de uma revisão rápida.
• Fique de olho na causa raiz. Nem a Cursor nem a Anthropic disseram como o atacante chegou ao marketplace. Até que digam, presuma que outras extensões dessa loja podem ser alvo da mesma forma.