Cursorは、自社マーケットで悪意あるClaude Code拡張をインストールした開発者に対し、拡張を削除するだけではリスクが残る可能性があると警告しました。対象端末に残ったコンポーネントを確認・削除し、端末からアクセスできた認証情報やセッションは、信頼できる別のシステムから更新するよう呼びかけています。影響が確認されたのは、macOSおよびWindows向けのAnthropic.claude-code 2.1.312と2.1.313です。侵入が成功したかどうかは、端末の設定や権限などによって異なります。
対象は2.1.312と2.1.313
Cursorのセキュリティ告知によると、悪意ある2つのバージョンは2026年10月29日、太平洋時間の午前2時27分ごろから午後1時35分ごろまで、同社のマーケットに掲載されていました。Cursorは、これらのバージョンはAnthropicが開発したものではなく、ほかのバージョンや公式配布経路に影響があったことを示す証拠は確認していないとしています。
Cursorは10月30日に対象バージョンと識別に関する情報を追加しました。セキュリティ研究者のPhorionは当初、2.1.313のみを特定しましたが、10月31日の分析更新で2.1.312も対象に含めました。
SSH経由の遠隔アクセスを試みるコード
Phorionの分析では、悪意あるコードは攻撃者が管理するSSH鍵を追加し、端末のSSHリモートログインを有効化したうえで、リバーストンネルを確立しようとしていました。SSHサービスが稼働している場合、追加された鍵を使い、トンネル経由で端末にログインされる可能性があります。
また、コードは端末上に長期間残る仕組みも試みていました。macOSではLaunchAgentを利用し、Windowsではタスクスケジューラへの登録を試みます。登録に失敗した場合は、スタートアップフォルダーを代替手段として使う設計でした。
Phorionによると、拡張モジュールがNodeによって読み込まれるとコードが実行され、拡張の通常の有効化処理やユーザーによる追加操作を待つ必要はありません。ただし、遠隔アクセスが可能になるかどうかは端末の状態に左右されます。研究者はmacOS版のコードに権限確認上の問題があり、標準ユーザーで実行した場合はリモートログインを有効にできない可能性を指摘しました。一方、SSHがすでに有効だった場合や、その後に有効化された場合は、トンネルが動作している間、追加された鍵がアクセス手段となる可能性があります。
サーバー停止後も端末の確認が必要
Cursorはホスティング事業者と連携して攻撃者のサーバーを停止し、悪意ある拡張を削除したほか、自社の鍵を更新しました。マーケットは再構築を経て再開したとしています。ただし、こうしたプラットフォーム側の対応によって、影響を受けた端末に残るコンポーネントが自動的に削除されるわけではありません。
Phorionによると、初期のビーコンが送信したのは端末情報と、条件に合致した最大40個の環境変数の「名前」であり、変数に含まれる秘密情報そのものではありませんでした。Cursorは、この限られた情報収集だけでは、攻撃者が後からバックドアを通じて認証情報を取得した可能性を否定できないと説明しています。
Cursorは、ターミナル、ネットワーク、拡張機能のインストール履歴を確認するよう推奨しています。ペイロードの実行やバックドア設置の兆候が見つかった場合は、端末をネットワークから隔離し、不正なSSH鍵や永続化の仕組み、稼働中のトンネルを削除する必要があります。同社の告知にはOS別の修復スクリプトが掲載されており、端末の再インストールや再構築が必要かどうかも検討するよう求めています。影響を受けた端末からアクセスできた認証情報やセッションは、信頼できる別の端末から更新することが推奨されています。開発者の場合、ローカルアカウントが利用できる開発サービスや金融サービスの認証情報も対象になり得ますが、今回の告知と分析では暗号資産の窃取は確認されておらず、暗号資産業界を狙った攻撃だったとも確認されていません。