Hamis Claude Code-bővítmény került a Cursor piacterére

A Cursor frissített biztonsági közleménye a Claude Code bővítmény 2.1.312-es és 2.1.313-as, Windowsra és macOS-re készült változatát azonosítja. A módosított csomag 2026. október 29-én, körülbelül 2:27 és 13:35 között volt elérhető a Cursor kiterjesztés-piacterén, csendes-óceáni idő szerint (PT).

A vizsgálat azoknak szól, akik ebben az időszakban telepítették vagy frissítették valamelyik megnevezett verziót a piactérről. A rosszindulatú változatokat nem az Anthropic készítette. A Cursor szerint nincs bizonyíték arra, hogy a bővítmény más verziói vagy a hivatalos terjesztés érintett lenne.

A módosított kód a bővítmény betöltésekor lefutott, anélkül hogy a felhasználónak kapcsolatba kellett volna lépnie a Claude Code eszközzel. Gép- és felhasználói adatokat gyűjtött, köztük a gép nevét, a nyilvános IP-címet, a Githez beállított e-mail-címet és a környezeti változók neveit.

A csomag a támadók SSH-kulcsát is hozzáadta a géphez, majd megpróbálta bekapcsolni a helyi SSH-szolgáltatást és tartós távoli kapcsolatot létrehozni. A Cursor szerint a kódban lévő hibák és a szükséges rendszergazdai jogosultság hiánya miatt a legtöbb macOS- és Windows-gépen nem sikerült elindítani az SSH-szolgáltatást. Azokon a gépeken, ahol ez nem futott, a támadó nem tudott bejelentkezni a kapcsolaton keresztül.

A kulcs hozzáadása, az önállóan tovább futó kód telepítése és a gépadatok elküldése ettől még megtörtént. A szkript nem lopta el közvetlenül a hitelesítő adatokat, de a Cursor szerint a környezeti változók korlátozott gyűjtése nem zárja ki, hogy később a hátsó ajtón keresztül hozzáférhettek ilyen adatokhoz.

A Cursor arra kéri az érintett időszakban telepítőket, hogy a közleményében megadott ellenőrzéssel keressék meg a támadó „svc-telemetry” jelölésű SSH-kulcsát. Külön ellenőrzést adott macOS-re és Windowsra. A kulcs megtalálása azt jelzi, hogy a gép érintett.

A vállalat azt is kéri, hogy az érintettek keressék a közölt incidensjelzőket a végpontok, a hálózat és a bővítmények telepítésének naplóiban. Aki végrehajtásra vagy hátsó ajtó telepítésére utaló nyomot talál, annak a Cursor a gép elkülönítését és a közleményében részletezett helyreállítási lépéseket javasolja.

A bővítmény eltávolítása önmagában nem feltétlenül elég: az általa telepített különálló szkriptek tovább futhatnak. A Cursor platformonként helyreállító szkriptet is közzétett a jogosulatlan kulcs, a futó kapcsolatok és a hátrahagyott kód eltávolítására.

A Cursor eltávolította a rosszindulatú csomagot, majd átmenetileg leállította a piacteret. Átvizsgálta a hozzáféréseket, lecserélte a saját kulcsait, és újra elérhetővé tette a felületet. Közlése szerint a vizsgálat során más módosított kiterjesztést nem talált.

A vállalat a tárhelyszolgáltatóval együtt leállította a támadók szerverét is. A Cursor szerint emiatt az arra irányuló távoli kapcsolat és a gépadatok továbbítása már nem működik.