29 października 2026 r. zmodyfikowane wersje rozszerzenia Claude Code były dostępne w marketplace Cursor dla rozszerzeń VS Code na Windows i macOS. Cursor wskazał wersje 2.1.312 i 2.1.313 oraz oszacował, że pakiet mogło otrzymać do 5000 użytkowników. Firma zaznaczyła, że złośliwych wersji nie opracowało Anthropic. Komunikat bezpieczeństwa Cursor podaje też zalecenia dla osób, których komputery mogły mieć kontakt z pakietem.

Co próbował zrobić zmodyfikowany payload

Według analizy Phorion złośliwy kod uruchamiał się podczas ładowania modułu rozszerzenia, bez potrzeby rozpoczęcia rozmowy z Claude. Próbował dodać klucz SSH oznaczony svc-telemetry, włączyć lokalną usługę SSH i otworzyć odwrotny tunel SSH, który umożliwiłby połączenie z komputera na zewnątrz. Payload próbował też utrwalić swoją obecność po ponownym uruchomieniu systemu: na macOS przez LaunchAgent, a na Windows przez zaplanowane zadanie, z folderem Autostart jako rozwiązaniem zastępczym.

Kod zbierał informacje o komputerze i użytkowniku, między innymi nazwę hosta, nazwę użytkownika, system operacyjny, architekturę, ścieżkę do katalogu domowego, katalogi robocze, skonfigurowany adres e-mail Git i publiczny adres IP. Phorion podał, że payload mógł zebrać do 40 pasujących nazw zmiennych środowiskowych, na przykład zawierających KEY, TOKEN, SECRET, PASS, AWS lub GCP. Chodziło o nazwy, nie o wartości tych zmiennych.

Cursor informował, że próba aktywacji SSH nie powiodła się na większości komputerów z Windows i macOS z powodu błędów w kodzie i wymaganych uprawnień administratora. Klucz, skrypty utrwalające lub dane o hoście mogły jednak zostać zapisane albo wysłane. Sama obecność pakietu w marketplace nie przesądza więc o udanym zdalnym logowaniu na konkretnym komputerze.

Jak sprawdzić komputer i ograniczyć ryzyko

Cursor zaleca sprawdzenie, czy w plikach authorized_keys znajduje się klucz svc-telemetry; w Windows kontrola obejmuje również plik kluczy administratorów. Firma udostępniła osobne skrypty dla Windows i macOS. Warto równolegle przeanalizować telemetrię stacji roboczej, ruch sieciowy i historię instalacji rozszerzeń. Sam brak szukanego klucza nie zastępuje tych szerszych kontroli.

Jeśli kontrola wykryje oznaki działania payloadu, Cursor zaleca odizolowanie komputera, usunięcie nieautoryzowanych kluczy i mechanizmów utrwalania oraz sprawdzenie, czy działa proces tunelu. Z zaufanego urządzenia należy zmienić dostępne zainfekowanemu komputerowi hasła, poświadczenia i sesje. W zależności od ustaleń firma zaleca też rozważenie ponownej instalacji systemu. Aktualizacja lub odinstalowanie rozszerzenia samo w sobie może nie usunąć niezależnych skryptów utrwalających.

Jak Cursor zareagował na incydent

Cursor usunął wskazane wersje, zablokował ich dystrybucję i prewencyjnie wyłączył marketplace, a następnie go odbudował i przywrócił. Firma poinformowała również, że przeprowadziła audyt innych rozszerzeń i zmieniła własne klucze. Według Cursor serwer napastnika został wyłączony, więc połączenie odwrotnego tunelu i wysyłanie danych o hoście przestały działać.