Cursor retiró de su marketplace las versiones manipuladas 2.1.312 y 2.1.313 de la extensión Anthropic.claude-code, disponibles el 29 de octubre de 2026 para Windows y macOS. El código intentaba instalar una clave SSH, abrir un túnel remoto y dejar mecanismos de persistencia. Cursor calculó que hasta 5.000 usuarios podrían haber recibido esas versiones. El aviso de seguridad de Cursor detalla el alcance y las medidas recomendadas.

Qué versiones de Claude Code estuvieron afectadas

Cursor identificó las versiones 2.1.312 y 2.1.313 en su marketplace de extensiones para VS Code, en paquetes para Windows y macOS. Según la empresa, estuvieron disponibles el 29 de octubre, aproximadamente entre las 2:27 y las 13:35, hora del Pacífico. Cursor dijo que las versiones manipuladas no fueron desarrolladas por Anthropic.

La cifra de hasta 5.000 es una estimación de posibles destinatarios, no un recuento de equipos infectados. El incidente descrito corresponde a la distribución en el marketplace de Cursor.

Qué intentaba hacer el código malicioso

El análisis técnico de Phorion describe código que se ejecutaba al cargar el módulo de la extensión, sin que el usuario tuviera que iniciar una conversación con Claude. El payload intentaba añadir a las claves autorizadas del equipo una clave SSH identificada como svc-telemetry, habilitar SSH y abrir un túnel inverso. También buscaba dejar mecanismos de persistencia para ejecutarse después de reiniciar el equipo.

El código intentaba enviar información del equipo, como el nombre del host y del usuario, el sistema operativo, la arquitectura, la ruta del directorio personal, los directorios de trabajo, el correo de Git configurado y la IP pública. Phorion señala que el payload recopilaba hasta 40 nombres de variables de entorno que coincidieran con términos como KEY, TOKEN, SECRET, PASS, AWS o GCP, pero no sus valores. Cursor advirtió que, si el acceso por SSH llegaba a funcionar, podía existir una vía posterior para acceder a credenciales del equipo.

Qué se sabe del intento de acceso remoto

Cursor indicó que la activación de SSH fallaría en la mayoría de los equipos Windows y macOS por errores en el código y porque requería permisos de administrador. Aun así, la clave, los scripts de persistencia y los datos del equipo podían quedar instalados o enviarse. La instalación de una versión potencialmente afectada, por tanto, requiere revisar el equipo aunque no se haya iniciado una conversación con Claude.

Cómo revisar y remediar un equipo

Cursor recomienda comprobar si aparece svc-telemetry en los archivos authorized_keys, incluido el archivo de claves de administradores en Windows. También indica revisar los registros de seguridad del endpoint, la red y la instalación de extensiones. La clave es un indicador concreto, pero Cursor recomienda combinar esa comprobación con la revisión más amplia.

Si se encuentran indicios, la secuencia indicada por Cursor es aislar el equipo, retirar las claves no autorizadas y los mecanismos de persistencia, e investigar los procesos de túnel que sigan activos. Después, conviene rotar desde un sistema de confianza las credenciales y sesiones a las que el equipo pudiera haber accedido. Cursor ofrece scripts de comprobación y remediación separados para Windows y macOS, y advierte que desinstalar la extensión puede dejar scripts de persistencia independientes.

Cursor retiró las versiones identificadas, bloqueó su distribución, cerró el marketplace como medida preventiva y después lo reconstruyó y restableció. La empresa también dijo que el servidor del atacante había quedado fuera de servicio.