Cursor voert het datalek terug op een toegangssleutel die door Fireworks AI is blootgelegd

Cursor meldde in een incidentupdate die op 13 november 2026 is gepubliceerd dat een aanvaller een door Cursor uitgegeven toegangssleutel heeft gebruikt die door Fireworks AI was blootgelegd. Daarmee kopieerde de aanvaller historische sporen van codeeragenten en inloggegevens, kreeg vervolgens toegang tot bepaalde softwaretools die Cursor gebruikt en verspreidde kwaadaardige builds van de Claude Code-extensie. Bij minder dan 0,01% van de klanten waren API-inloggegevens blootgesteld.

Doordat Fireworks de sleutel blootlegde, konden gegevens worden gekopieerd uit een alleen-lezen-bucket die werd gebruikt voor het delen van gegevens tussen Cursor en de leverancier. De inhoud bestond onder meer uit een beperkt aantal sporen van codeeragenten, voornamelijk uit 2025, afkomstig uit sessies waarin Privacy Mode niet was ingeschakeld en die Cursor mocht gebruiken voor het trainen van modellen. In een klein aantal gevallen bevatten de gegevens niet-afgeschermde inloggegevens, waarmee toegang kon worden verkregen tot bepaalde SaaS-tools die Cursor gebruikt.

Via die tools kreeg de aanvaller toegang tot bepaalde gearchiveerde, niet-productiebroncodeopslagplaatsen van Cursor, waarvan sommige zakelijke contactgegevens bevatten. Tot het overige materiaal waartoe toegang werd verkregen, behoorden beperkte supportgegevens en e-mailgesprekken, statistieken over productgebruik en contactgegevens, samenvattingen van enkele gesprekken met codeeragenten en inloggegevens die gebruikers naar het supportteam van Cursor hadden gestuurd.

Getroffen gegevens en niet-getroffen systemen

Van de gebruikers die Privacy Mode niet gebruikten, waren de sporen van codeeragenten van minder dan 0,05% blootgesteld. Cursor zei dat het elke getroffen gebruiker rechtstreeks had geïdentificeerd en op de hoogte had gesteld. De blootgestelde sporen waren beperkt tot opslag die werd gebruikt voor historische offlineanalyses. Huidige klantgegevens en liveverkeer, actieve inferentieverzoeken en prompts en code uit Privacy Mode zijn niet getroffen.

Cursor meldde ook dat de productie- en infrastructuursystemen waarop de dienst draait, noch de coderepository’s van klanten zijn getroffen. Officiële app-updates en code die naar clients en clouddiensten was uitgerold, bleven buiten schot: releasecode staat in een afzonderlijk hostingsysteem waartoe de aanvaller nooit toegang heeft gehad, en er zijn geen sleutels voor releaseondertekening blootgelegd. Het bedrijf heeft alle overige extensies in zijn VS Code-marktplaats gecontroleerd en die marktplaats doorgelicht en opnieuw opgebouwd.

Compromittering van extensies en indamming

De update brengt de inbraak in verband met Cursor’ eerdere bekendmaking van de kwaadaardige Claude Code-extensie. Op 29 oktober 2026 gebruikte de aanvaller een inloggegeven dat uit de blootgelegde interne gegevens was gestolen om ongeautoriseerde builds rechtstreeks te plaatsen in de cache die de marktplaats voor Cursor-extensies voor VS Code bedient. Anthropic heeft die builds niet gepubliceerd, het product van Anthropic was niet kwetsbaar en de malware is nooit beschikbaar geweest via Open VSX, de bron van de marktplaats. Cursor schat dat maximaal 5.000 gebruikers die specifieke versies uit de cache opvroegen, mogelijk een kwaadaardige build hebben ontvangen gedurende de ongeveer 11 uur dat die beschikbaar was.

Cursor publiceerde op 30 oktober 2026 indicatoren van compromittering en materiaal voor herstelmaatregelen, en begon getroffen gebruikers en teambeheerders via berichten in de app en e-mail op de hoogte te stellen. Beheerders ontvingen lijsten met specifieke sleutels die moesten worden vervangen wanneer inloggegevens waren blootgesteld. Cursor vroeg de externe diensten die deze hadden uitgegeven om de sleutels in te trekken. Klanten van wie support- of bedrijfsgegevens mogelijk betrokken waren, zijn rechtstreeks op de hoogte gesteld.

De monitoringsystemen van Cursor hebben de ongeautoriseerde activiteit vastgesteld. Uit voorzorg heeft het bedrijf tijdelijk meer interne diensten en productdiensten uitgeschakeld dan op grond van het bewijsmateriaal nodig was. Daardoor werden bepaalde functies verstoord; na beoordeling zijn ze stuk voor stuk weer ingeschakeld. Cursor denkt dat het incident is ingedamd: de laatste activiteit van de aanvaller die het bedrijf heeft waargenomen, vond plaats op 1 november 2026 en werd geblokkeerd. De monitoring op afwijkende activiteit gaat door.

Intrekking van inloggegevens en wijzigingen bij leveranciers

Cursor heeft al het inferentieverkeer weggehaald bij Fireworks, de leverancierssleutel gedeactiveerd en Fireworks de toegang ontzegd tot alle datasets die met de leverancier werden gedeeld. Alle geïdentificeerde blootgestelde inloggegevens van Cursor zijn vervangen. Vervolgens zijn uit voorzorg ook alle inloggegevens die binnen interne systemen in gebruik waren vervangen, zelfs waar er geen aanwijzingen waren voor blootstelling. Waar mogelijk heeft Cursor de netwerkbeperkingen bij dienstverleners uitgebreid, geheime gegevens laten opsporen in coderepository’s en andere interne gegevensbronnen, de productie-infrastructuur opnieuw uitgerold en externe forensische experts ingeschakeld.

In een eigen beveiligingsbulletin meldt Fireworks AI afzonderlijk dat een incident op 23 oktober 2026 een externe cloudprovider trof die de machines voor onderzoek en ontwikkeling hostte. Een onbevoegde partij kreeg op 24 oktober 2026 toegang tot ontwikkelmachines van Fireworks en voerde daarop een ongeautoriseerde werklast uit, wat leidde tot verdere gevolgen voor klantgegevens. Fireworks ontdekte de activiteit diezelfde dag. Sinds 25 oktober 2026 heeft het bedrijf geen verdere geslaagde ongeautoriseerde toegang tot het klantenplatform vastgesteld. Deze bevindingen kunnen nog veranderen in het kader van het lopende onderzoek.

Fireworks heeft inloggegevens en serviceaccounts ingetrokken en vervangen, onnodige verhoogde toegangsrechten verwijderd, netwerkverbindingen beperkt, de toegangscontroles voor opslag en analyses aangescherpt en de registratie en monitoring verbeterd met hulp van Palo Alto Networks Unit 42. Tijdens het onderzoek heeft het bedrijf zelfbedieningsuploads en -downloads van datasets uitgeschakeld die werden gebruikt voor Batch Inference en het trainen op basis van datasets. Training SDK blijft beschikbaar met nul gegevensbewaring, wat betekent dat er in rust geen trainingsgegevens worden opgeslagen. Training via Lab draait in een geïsoleerde omgeving.

Door het nieuwe account wordt de inbreuk op de marktplaats aan het einde geplaatst van een keten die begon met een leverancierssleutel en zich voortzette via in historische sporen achtergebleven inloggegevens. Daardoor staan het intrekken van leverancierstoegang en het breed roteren van inloggegevens centraal in de beoordeling van Cursor van de inperking van het incident, terwijl de lopende onderzoeken van Fireworks betekenen dat de bevindingen aan de leverancierskant nog kunnen worden herzien.