サイバーセキュリティ
Cursor、悪意あるClaude Code拡張機能によるSSHバックドア設置の試みを公表
Unite.AI を Google の優先ソースに追加
Cursorは2026年10月29日、VS Code拡張機能マーケットプレイスで、Anthropic.claude-code拡張機能を悪意ある形に改変したバージョンに関するセキュリティインシデントを公表した。同社によると、このパッケージはAnthropicが開発したものではなく、永続的なSSHバックドアの設置を試みるコードを実行していた。影響を受けたユーザーは最大5,000人に上る。
セキュリティ通知で同社は、影響を受けたユーザーに直接連絡すると述べた。悪意あるパッケージは、AnthropicのClaude Code拡張機能のバージョン2.1.313で、2026年10月29日午前2時27分頃（太平洋時間）から午後1時35分までマーケットプレイスで公開されていた。
悪意あるバージョンの挙動
Cursorによると、改変された拡張機能はホストとユーザーに関する情報を収集する。具体的には、ホスト名、ユーザー名、オペレーティングシステム、アーキテクチャ、ホームディレクトリのパス、環境変数名、作業ディレクトリ、設定されたGitのメールアドレス、マシンのパブリックIPアドレスが含まれる。
この拡張機能は、攻撃者が管理するSSHキーをユーザーの authorized_keys ファイルに追加し、ローカルのSSHサービスを有効にして、リバースSSHトンネルを開こうとする。Cursorによると、悪意あるコードのエラーにより、Cursorが管理者権限で起動されたという極めて異例な状況を除けば、この処理は失敗するという。同社はさらに、ローカルのSSHサービスを有効にするには管理者権限が必要だが、ほとんどのmacOSおよびWindowsホストでは拡張機能にその権限がないため、そうしたマシンでは攻撃者がトンネル経由でログインすることはできなかったと説明した。それでも、拡張機能は攻撃者のSSHキーを追加し、永続化の仕組みをインストールして、ホストの詳細情報を攻撃者に送信する。
Cursorによると、ペイロードは永続化のため、macOSではLaunchAgentをインストールし、WindowsではSYSTEMとしての実行を試みるスケジュールタスクを作成する。さらに、代替手段としてスタートアップスクリプトを用意する一方、バックグラウンドスクリプトが約60秒ごとにトンネルへの再接続を試みる。拡張機能はHTTP POSTリクエストを通じて、ホストの詳細情報とバックドアの状態を /beacon ポート8099のエンドポイントに報告する。
Cursorの対応
Cursorは、検出後すぐにマーケットプレイスから悪意あるバージョンを削除して以後の配布を阻止し、予防措置としてマーケットプレイス全体を停止したと述べた。同社はアクセスを監査し、ほかの拡張機能が改ざんされていないことを確認したうえで、キーをローテーションし、マーケットプレイスを再構築して再開した。
Cursorはまた、攻撃者のサーバーをホストしていたクラウドプロバイダーと連携してサーバーを停止させたと述べた。攻撃者のサーバーは現在機能しておらず、リバースシェルとホスト詳細情報を送るPOSTリクエストも動作しない。同社によると、調査結果が対象としているのは特定されたパッケージであり、拡張機能のほかのバージョンや公式の配布元が影響を受けたことを示す証拠はない。
修復手順と侵害の痕跡
Cursorは、影響期間中にマーケットプレイスからAnthropic.claude-code 2.1.313をインストールまたは更新したユーザーに対し、同社の影響確認ツールを実行するよう勧告した。また、公表された侵害の痕跡をエンドポイント、ネットワーク、拡張機能のインストールに関するテレメトリーで検索し、ペイロードの実行またはバックドアの設置を示す証拠があるホストを隔離すること、同社の修復スクリプトを使って不正なSSHキー、永続化の仕組み、実行中のトンネルプロセスを削除することも勧めている。そのうえで、ホストを再構築する必要があるかどうかを評価するよう求めた。影響を受けたユーザーは、信頼できるシステムから、影響を受けたホストでアクセス可能だった認証情報とセッションを更新する必要がある。
同社は、ペイロードが単独で動作する永続化スクリプトを配置して実行を続けるため、拡張機能をアンインストールするだけでは不十分な場合があると警告した。また、環境変数の収集範囲が限定的だったことは、後にバックドア経由で認証情報へアクセスされた可能性を否定するものではないと述べた。
影響確認ツールは、攻撃者の公開鍵（ラベルは svc-telemetry）が追記されたSSH authorized_keys ファイルを確認する。macOSではgrepコマンドを使い、Windowsではユーザーの両方の authorized_keys ファイルと administrators_authorized_keys 以下のファイルを確認する C:\ProgramData\ssh。キーが見つかった場合、そのマシンは影響を受けている。Cursorはその場合、ユーザーに該当プラットフォーム用の修復スクリプトを実行するよう案内している。
macOS用スクリプトは、 remediate-macos.shWindows用スクリプトは、 remediate-windows.ps1影響を受けたユーザーとして実行する必要があり、rootとして実行してはならない。また、Windows用スクリプトは管理者権限で開いたPowerShellセッションから実行する必要がある。どちらのスクリプトも、悪意ある拡張機能、永続化の仕組み、実行中のトンネルプロセス、攻撃者のSSHキーを削除し、何かが残っている場合はゼロ以外の終了ステータスを返す。
公表された侵害の痕跡には、改変されたdarwin-arm64およびwin32-x64のVSIXパッケージのSHA-256ハッシュ値と、改変された extension.js ファイルが含まれる。このファイルはmacOSまたはWindowsの2.1.313拡張機能フォルダー内にあり、文字列「134.209.82.225」および svc-telemetry. ネットワーク上の痕跡には、攻撃者の接続先である134.209.82.225、TCPポート22でのリバースSSHの接続先tunnel@134.209.82.225、同じアドレスのポート8099での外部ビーコン通信、127.0.0.1:8099へのループバックビーコンの試行が含まれます。Cursorはさらに、フィンガープリントがSHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htkの未承認のssh-ed25519公開鍵、リバーストンネル鍵のフィンガープリント、macOSおよびWindowsの永続化用ファイルパス（ラベルが付いたLaunchAgentを含む com.apple.sysmond、名前が付けられたスケジュール済みタスク SysMon、およびスタートアップフォルダーに置かれる、名前が付けられたフォールバック用スクリプト sysmon.cmd —と、次のコマンドライン上の痕跡 ssh -N -R, autossh -M 0, schtasks /create /tn SysMon, systemsetup -setremotelogin on、さらに Add-WindowsCapability OpenSSHサーバー機能をインストールするコマンド。
Cursorは、ペイロードによるパブリックIPアドレスの照会先がifconfig.meとapi.ipify.orgであり、これらは正規のサービスであること、また、これらのサービスへのアクセスだけでは指標にならないことを指摘しました。同社は問い合わせ先としてsecurity@cursor.comを案内しました。
