Cursor advierte a quienes instalaron versiones maliciosas de Claude Code desde su marketplace que eliminar la extensión quizá no sea suficiente para proteger el equipo. Los dispositivos afectados podrían conservar componentes residuales; además, conviene cambiar desde un sistema de confianza las credenciales y sesiones a las que el equipo pudo tener acceso. El incidente afectó a las versiones 2.1.312 y 2.1.313 de Anthropic.claude-code para macOS y Windows. La posibilidad de que un atacante accediera al dispositivo dependía de su configuración y de los permisos disponibles.
Las versiones afectadas estuvieron disponibles el 29 de octubre
En su aviso de seguridad, Cursor indicó que ambas versiones estuvieron en su marketplace entre aproximadamente las 2:27 y las 13:35, hora del Pacífico, del 29 de octubre de 2026. La empresa señaló que Anthropic no desarrolló las versiones maliciosas y que no encontró indicios de que se vieran afectadas otras versiones o canales oficiales de distribución.
Cursor amplió el 30 de octubre la información sobre las versiones afectadas y cómo identificarlas. El investigador de seguridad Phorion detectó inicialmente la versión 2.1.313 y actualizó su análisis el 31 de octubre para incluir también la 2.1.312.
El código intentaba abrir una vía de acceso SSH
El análisis de Phorion concluyó que la carga maliciosa trataba de añadir una clave SSH controlada por el atacante, activar el inicio de sesión remoto en el dispositivo y crear un túnel inverso. Si el servicio SSH estaba en funcionamiento, la clave podía permitir el acceso a través de ese túnel. El código también intentaba mantener la persistencia: en macOS recurría a un LaunchAgent; en Windows, trataba de crear una tarea programada y, si no lo conseguía, utilizaba la carpeta de Inicio.
Según Phorion, el código se ejecutaba cuando Node cargaba el módulo de la extensión. No tenía que esperar a que se activara la extensión mediante su proceso habitual ni a que el usuario realizara otra acción. Aun así, el acceso remoto dependía del estado del equipo. Los investigadores detectaron un problema de permisos en el código para macOS: una cuenta estándar podía impedir la activación del inicio de sesión remoto. Sin embargo, si SSH ya estaba activado o se activaba más adelante, la clave instalada podía servir como vía de acceso mientras el túnel siguiera abierto.
Cerrar los servidores no elimina los archivos del equipo
Cursor afirmó que colaboró con su proveedor de alojamiento para apagar los servidores del atacante, retiró las extensiones maliciosas, cambió sus propias claves y reconstruyó el marketplace antes de reabrirlo. Estas medidas no eliminan automáticamente los componentes que pudieran haber quedado en los dispositivos afectados.
Phorion indicó que la señal inicial enviada al servidor incluía información del equipo y los nombres de hasta 40 variables de entorno coincidentes, pero no los valores secretos almacenados en ellas. Cursor advirtió que este alcance limitado de la recopilación no descarta que el atacante pudiera obtener credenciales posteriormente mediante la puerta trasera.
La empresa recomendó revisar los registros del terminal, de red y de instalación de extensiones. Si hay indicios de que se ejecutó la carga maliciosa o se instaló una puerta trasera, aconseja aislar el dispositivo y retirar las claves SSH no autorizadas, los mecanismos de persistencia y los túneles activos. El aviso de Cursor incluye scripts de remediación para distintos sistemas operativos y recomienda evaluar si es necesario reinstalar o reconstruir el equipo.
También recomienda cambiar, desde un dispositivo de confianza, las credenciales y sesiones a las que el equipo afectado hubiera podido acceder. En el caso de los desarrolladores, podrían incluir accesos a herramientas de desarrollo o servicios financieros disponibles para una cuenta local. Ni el aviso de Cursor ni el análisis de Phorion confirmaron robos de criptomonedas ni determinaron que el ataque estuviera dirigido específicamente al sector cripto.