Marketplace editoru Cursor nabízel 29. října 2026 zhruba jedenáct hodin upravené rozšíření Claude Code for VS Code, které se v počítači pokoušelo založit trvalý SSH backdoor. Šlo o verze 2.1.312 a 2.1.313. Ke stažení byly pro macOS a Windows mezi 10:27 a 21:35 středoevropského času. Cursor na síti X napsal, že se incident týká nejvýš 5 000 uživatelů. Podrobný rozbor škodlivého kódu zveřejnila 30. října firma Phorion, která vyvíjí bezpečnostní software pro macOS. Cursor obě verze stáhl, celý marketplace preventivně vypnul, vyměnil své klíče a po kontrole ho znovu spustil. Server útočníka s poskytovatelem hostingu odpojil, takže tunel ani odesílání údajů podle Cursoru už nefungují. Všem uživatelům doporučuje aktualizovat na verzi 2.1.314.
Jak se útočník k marketplace dostal, do 31. října Cursor ani Anthropic nevysvětlili. Cursor v bezpečnostním upozornění píše, že škodlivé verze Anthropic nevyvinul a že jiná rozšíření z jeho marketplace zasažená nejsou. Felix Rieseberg z Anthropicu 30. října na X odmítl, že by šlo o průnik do systémů firmy nebo do notebooků jejích zaměstnanců. Útočník podle něj zneužil přístup k marketplace Cursoru a nahrál tam upravenou kopii rozšíření, kterou Anthropic nevytvořil ani nevydal. David Dworken, který v Anthropicu pracuje na bezpečnosti, doplnil, že verze na oficiálních kanálech, tedy i na Visual Studio Marketplace a Open VSX, zasažené nejsou. Verze 2.1.312 totiž vyšla i oficiálně, na Visual Studio Marketplace 27. října. Podle Cursoru i Anthropicu byly nebezpečné jen balíčky z marketplace Cursoru. Kevin Beaumont dal svému rozboru na blogu DoublePulsar titulek, podle kterého byl hacknutý Anthropic. V pozdější aktualizaci textu ale cituje Anthropic, že průnik byl u Cursoru. Sám přitom tvrdí, že rozšíření bylo nahrané pod ověřeným účtem Anthropicu a v Cursoru se samo aktualizovalo. Cursor ani Anthropic to nepotvrdili.
A malicious actor used access to Cursor’s marketplace to publish a tampered copy of the Claude Code extension, which we didn’t build or publish.
Útočník podle Phorionu vložil škodlivý kód na začátek hlavního souboru rozšíření. Spustil se tak hned při jeho načtení a uživatel nemusel nic dělat. Do souboru authorized_keys kód přidá veřejný SSH klíč útočníka s komentářem svc-telemetry. Pak zkusí zapnout místní SSH server a otevřít reverzní tunel na server útočníka, přes který by se útočník mohl k počítači přihlásit. Tunel se znovu zkouší navázat zhruba každou minutu a běží dál i po zavření editoru. Po restartu ho na macOS spustí LaunchAgent, který se vydává za systémovou službu Applu, na Windows plánovaná úloha nebo skript ve složce Po spuštění. Útočníkovi navíc kód pošle jméno počítače a uživatele, operační systém, e-mail nastavený v Gitu, veřejnou IP adresu a názvy proměnných prostředí se slovy jako KEY, TOKEN nebo SECRET. Hodnoty proměnných neposílá. Útočník se ale dozví, na kterém počítači leží přístupy ke cloudu nebo k API.
Celý řetězec na většině počítačů nedoběhl. Zapnout SSH server jde jen s právy administrátora, která rozšíření obvykle nemá, a v kódu jsou navíc chyby. Podle Cursoru tenhle krok selhal všude kromě neobvyklých případů, kdy uživatel spustil Cursor jako administrátor. Kde selhal, útočník se přes tunel přihlásit nemohl. Phorion u macOS popsal, že kód špatně vyhodnotí odpověď systému na dotaz, jestli je vzdálené přihlášení vypnuté, a pokus o jeho zapnutí rovnou přeskočí. Podle Phorionu se na to ale spoléhat nedá: kdo měl vzdálené přihlášení zapnuté už dřív nebo si ho zapne později, má zadní vrátka připravená. Klíč útočníka a automatické spouštění tunelu se do počítače dostaly i tam, kde SSH zůstalo vypnuté, a údaje o počítači útočník dostal také.
Kdo si 29. října v uvedeném čase nainstaloval nebo aktualizoval rozšíření na verzi 2.1.312 nebo 2.1.313 z marketplace Cursoru na macOS či Windows, má podle Cursoru nejdřív zkontrolovat, jestli je v souboru authorized_keys klíč s komentářem svc-telemetry. Příkaz pro kontrolu i skripty, které odstraní rozšíření, klíč, automatické spouštění a běžící tunel, Cursor zveřejnil v bezpečnostním upozornění. Samotná odinstalace rozšíření podle něj nemusí stačit, protože skripty pro opětovné spuštění běží na rozšíření nezávisle. Podle Kevina Beaumonta zadní vrátka z už napadeného počítače neodstraní ani aktualizace na 2.1.314. Zasažené počítače má podle Cursoru správce izolovat a zvážit jejich úplnou reinstalaci. Přístupové údaje a relace dostupné z takového počítače doporučuje Cursor změnit z jiného, důvěryhodného zařízení. Phorion ještě radí projít logy SSH, protože přihlášení přes tunel se v nich ukáže jako připojení z localhostu s klíčem svc-telemetry. Cursor i Phorion zveřejnily indikátory napadení, tedy IP adresu serveru útočníka, otisky souborů a cesty, kam kód zapisuje.
Zdroje:
- Phorion: Official Claude Code Extension Compromise: Security Advisory, 30. října 2026, aktualizováno 31. října 2026
- Cursor: Security notice – malicious version of Anthropic.claude-code (2.1.312 and 2.1.313), 29. října 2026
- Cursor na X, 30. října 2026
- Felix Rieseberg na X, 30. října 2026
- David Dworken na X, 30. října 2026
- Kevin Beaumont, DoublePulsar: Anthropic hacked via Cursor to deliver remote access trojan to Claude developer laptops worldwide, 30. října 2026
- The Register: Anthropic: That Claude Code extension compromise… couldn’t be us, 30. října 2026
- Visual Studio Marketplace: Claude Code for VS Code
