Cursor warnt Entwickler, die manipulierte Versionen der Claude-Code-Erweiterung aus dem eigenen Marketplace installiert haben: Das Entfernen der Erweiterung allein könnte betroffene Computer nicht ausreichend sichern. Auf den Geräten sollten mögliche zurückgebliebene Komponenten überprüft werden. Zugangsdaten und aktive Sitzungen, auf die der Rechner zugreifen konnte, sollten von einem vertrauenswürdigen System aus erneuert werden. Betroffen waren die Versionen 2.1.312 und 2.1.313 von Anthropic.claude-code für macOS und Windows. Ob ein Angreifer Zugriff erlangen konnte, hing von Konfiguration und Berechtigungen des jeweiligen Geräts ab.
Manipulierte Versionen am 29. Oktober verfügbar
Laut einer Sicherheitsmitteilung von Cursor waren die beiden Versionen am 29. Oktober 2026 zwischen etwa 2:27 Uhr und 13:35 Uhr pazifischer Zeit im Marketplace verfügbar. Anthropic habe die manipulierten Versionen nicht entwickelt. Hinweise darauf, dass weitere Versionen oder offizielle Vertriebskanäle betroffen waren, habe Cursor nicht gefunden.
Am 30. Oktober ergänzte Cursor Angaben zu den betroffenen Versionen und dazu, wie Nutzer sie erkennen können. Der Sicherheitsforscher Phorion hatte zunächst Version 2.1.313 identifiziert. Am 31. Oktober erweiterte er seine Analyse auf Version 2.1.312.
Schadcode zielte auf SSH-Zugang und dauerhaften Zugriff
Phorions Analyse zufolge versuchte der Schadcode, einen vom Angreifer kontrollierten SSH-Schlüssel hinzuzufügen, die SSH-Fernanmeldung auf dem Gerät zu aktivieren und einen Reverse-Tunnel einzurichten. War der SSH-Dienst aktiv, hätte der hinterlegte Schlüssel dem Angreifer über diesen Tunnel möglicherweise eine Anmeldung ermöglicht.
Der Code sollte den Zugriff außerdem aufrechterhalten: Unter macOS setzte er dafür einen LaunchAgent ein. Unter Windows versuchte er, eine geplante Aufgabe anzulegen; falls das scheiterte, sollte der Autostart-Ordner als Ausweichlösung dienen.
Ausgeführt wurde der Code laut Phorion, sobald Node das Erweiterungsmodul lud. Er musste weder auf den regulären Aktivierungsprozess der Erweiterung warten noch auf eine weitere Aktion des Nutzers. Ob ein Fernzugriff tatsächlich möglich war, hing weiterhin vom Zustand des jeweiligen Rechners ab. Bei der macOS-Version stellten die Forscher ein Berechtigungsproblem fest: Mit einem Standardbenutzerkonto ließ sich die Fernanmeldung möglicherweise nicht aktivieren. War SSH jedoch bereits eingeschaltet oder wurde es später aktiviert, konnte der hinterlegte Schlüssel während der Laufzeit des Tunnels weiterhin einen Zugang eröffnen.
Serverabschaltung beseitigt keine lokalen Komponenten
Cursor erklärte, gemeinsam mit seinem Hosting-Anbieter die Server der Angreifer abgeschaltet, die manipulierten Erweiterungen entfernt, eigene Schlüssel erneuert und den Marketplace neu aufgebaut zu haben, bevor dieser wieder geöffnet wurde. Diese Schritte löschen jedoch nicht automatisch Komponenten, die bereits auf betroffenen Rechnern abgelegt wurden.
Der erste Beacon habe Informationen über den Rechner sowie die Namen von bis zu 40 passenden Umgebungsvariablen übermittelt, so Phorion. Die darin gespeicherten geheimen Werte seien nicht übertragen worden. Cursor wies allerdings darauf hin, dass dieser begrenzte Datentransfer nicht ausschließe, dass Angreifer später über die Hintertür Zugangsdaten erlangten.
Cursor empfahl, Terminal-, Netzwerk- und Installationsprotokolle der Erweiterungen zu prüfen. Gibt es Hinweise darauf, dass der Schadcode ausgeführt oder eine Hintertür eingerichtet wurde, sollten Nutzer das Gerät vom Netzwerk trennen und nicht autorisierte SSH-Schlüssel, Mechanismen zum dauerhaften Zugriff sowie aktive Tunnel entfernen. Die Mitteilung des Unternehmens enthält Bereinigungsskripte für verschiedene Betriebssysteme und empfiehlt zu prüfen, ob ein System neu installiert oder wiederhergestellt werden muss.
Zugangsdaten und Sitzungen, auf die der betroffene Rechner zugreifen konnte, sollten Nutzer ebenfalls erneuern – und zwar von einem vertrauenswürdigen Gerät aus. Bei Entwicklern können dazu Anmeldedaten für Entwicklungswerkzeuge oder Finanzdienste gehören, die über ein lokales Konto erreichbar waren. Weder Cursor noch Phorions Analyse bestätigten einen Diebstahl von Kryptowährungen oder kamen zu dem Schluss, dass sich der Angriff gezielt gegen die Kryptobranche richtete.