Cursor tiết lộ nỗ lực cài cửa hậu SSH trong tiện ích mở rộng Claude Code độc hại

Ngày 29 tháng 10 năm 2026, Cursor tiết lộ một sự cố bảo mật liên quan đến phiên bản bị chỉnh sửa với mục đích độc hại của tiện ích mở rộng Anthropic.claude-code trên Marketplace tiện ích mở rộng VS Code. Công ty cho biết gói này không do Anthropic phát triển và đã chạy mã nhằm cài đặt một cửa hậu SSH có khả năng duy trì hoạt động lâu dài. Tối đa 5.000 người dùng bị ảnh hưởng.

Trong thông báo bảo mật, công ty cho biết sẽ liên hệ trực tiếp với những người dùng bị ảnh hưởng. Gói độc hại này là phiên bản 2.1.313 của tiện ích mở rộng Claude Code của Anthropic, được cung cấp trên marketplace trong khoảng thời gian từ 2:27 sáng theo giờ Thái Bình Dương đến 1:35 chiều theo giờ Thái Bình Dương ngày 29 tháng 10 năm 2026.

Cách phiên bản độc hại hoạt động

Cursor cho biết tiện ích mở rộng đã chỉnh sửa thu thập thông tin về máy chủ và người dùng: tên máy chủ, tên người dùng, hệ điều hành, kiến trúc, đường dẫn thư mục chính, tên các biến môi trường, thư mục làm việc, địa chỉ email Git đã cấu hình và địa chỉ IP công khai của máy tính.

Tiện ích mở rộng tìm cách thêm khóa SSH do kẻ tấn công kiểm soát vào của người dùng authorized_keys tệp, bật dịch vụ SSH cục bộ và mở một đường hầm SSH ngược. Cursor cho biết bước này sẽ không thành công, trừ những trường hợp cực kỳ bất thường khi Cursor được khởi chạy với quyền quản trị viên, do có lỗi trong mã độc. Công ty nói thêm rằng việc bật dịch vụ SSH cục bộ đòi hỏi quyền quản trị mà tiện ích mở rộng không có trên hầu hết máy chủ macOS và Windows; do đó, trên những máy này, kẻ tấn công không thể đăng nhập qua đường hầm. Dù vậy, tiện ích mở rộng vẫn thêm khóa SSH của kẻ tấn công, cài đặt cơ chế duy trì hoạt động và gửi thông tin chi tiết về máy chủ cho kẻ tấn công.

Để duy trì hoạt động, Cursor cho biết mã tải xuống cài đặt LaunchAgent trên macOS hoặc, trên Windows, một tác vụ đã lên lịch tìm cách chạy với tư cách SYSTEM, đồng thời có tập lệnh Startup làm phương án dự phòng; các tập lệnh chạy nền thử lại kết nối đường hầm khoảng 60 giây một lần. Tiện ích mở rộng gửi thông tin chi tiết về máy chủ và trạng thái cửa hậu qua các yêu cầu HTTP POST đến một /beacon điểm cuối trên cổng 8099.

Phản hồi của Cursor

Cursor cho biết đã gỡ phiên bản độc hại khỏi marketplace ngay khi phát hiện và chặn việc phân phối thêm, sau đó đóng toàn bộ marketplace để đề phòng. Công ty nói rằng họ đã kiểm tra quyền truy cập và xác nhận không có tiện ích mở rộng nào khác bị can thiệp, thay mới các khóa, xây dựng lại marketplace rồi đưa dịch vụ hoạt động trở lại.

Cursor cũng cho biết đã phối hợp với nhà cung cấp dịch vụ đám mây lưu trữ máy chủ của kẻ tấn công để ngắt hoạt động của máy chủ này. Máy chủ của kẻ tấn công hiện không còn hoạt động, khiến shell ngược và yêu cầu POST gửi thông tin chi tiết về máy chủ không còn hoạt động. Công ty nói rằng các phát hiện của họ chỉ liên quan đến gói đã xác định và họ không có bằng chứng cho thấy các phiên bản khác của tiện ích mở rộng hoặc bản phân phối chính thức bị ảnh hưởng.

Các bước khắc phục và dấu hiệu nhận biết

Cursor khuyến nghị bất kỳ ai đã cài đặt hoặc cập nhật Anthropic.claude-code 2.1.313 từ marketplace của công ty trong khoảng thời gian bị phơi nhiễm hãy chạy công cụ kiểm tra mức độ ảnh hưởng; tìm kiếm các dấu hiệu đã công bố trong dữ liệu đo từ xa về điểm cuối, mạng và quá trình cài đặt tiện ích mở rộng; cô lập những máy chủ có dấu hiệu mã tải xuống đã được thực thi hoặc cửa hậu đã được cài đặt; đồng thời dùng các tập lệnh khắc phục của công ty để xóa khóa SSH trái phép, các cơ chế duy trì hoạt động và các tiến trình đường hầm đang chạy, trong khi đánh giá xem có cần cài đặt lại hệ thống trên máy chủ hay không. Người dùng bị ảnh hưởng nên thay mới thông tin xác thực và phiên có thể truy cập từ các máy chủ bị ảnh hưởng, thực hiện việc này trên một hệ thống đáng tin cậy.

Công ty cảnh báo rằng chỉ gỡ cài đặt tiện ích mở rộng có thể là chưa đủ, vì mã tải xuống tạo ra các tập lệnh duy trì hoạt động độc lập và tiếp tục chạy. Công ty cũng cho biết việc chỉ thu thập một lượng giới hạn biến môi trường không loại trừ khả năng thông tin xác thực sẽ bị truy cập sau đó thông qua cửa hậu.

Công cụ kiểm tra mức độ ảnh hưởng tìm khóa công khai của kẻ tấn công, được gắn nhãn svc-telemetry, được thêm vào tệp SSH authorized_keys : một lệnh grep trên macOS và một bước kiểm tra bằng PowerShell trên Windows, bao gồm cả tệp của người dùng authorized_keys và tệp administrators_authorized_keys trong thư mục C:\ProgramData\ssh. Máy tính bị ảnh hưởng nếu tìm thấy khóa này; khi đó, Cursor hướng dẫn người dùng chạy tập lệnh khắc phục dành cho nền tảng tương ứng.

Tập lệnh macOS, remediate-macos.sh, phải được chạy với tư cách người dùng bị ảnh hưởng chứ không phải root; còn tập lệnh Windows, remediate-windows.ps1, phải được chạy trong phiên PowerShell được mở với quyền quản trị viên. Cả hai tập lệnh đều xóa tiện ích mở rộng độc hại, các cơ chế duy trì hoạt động, những tiến trình đường hầm đang chạy và khóa SSH của kẻ tấn công; đồng thời trả về mã trạng thái khác 0 nếu vẫn còn bất kỳ thành phần nào.

Các dấu hiệu xâm nhập đã công bố bao gồm mã băm SHA-256 của các gói VSIX darwin-arm64 và win32-x64 đã bị chỉnh sửa, cùng một tệp extension.js đã bị chỉnh sửa trong thư mục tiện ích mở rộng phiên bản 2.1.313 trên macOS hoặc Windows, chứa các chuỗi 134.209.82.225 và svc-telemetry. Các dấu hiệu mạng bao gồm điểm cuối của kẻ tấn công 134.209.82.225, đích SSH đảo ngược tunnel@134.209.82.225 trên cổng TCP 22, tín hiệu beacon bên ngoài tại cùng địa chỉ trên cổng 8099 và nỗ lực gửi tín hiệu beacon qua địa chỉ loopback 127.0.0.1:8099. Cursor cũng liệt kê khóa công khai ssh-ed25519 trái phép có dấu vân tay SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk, dấu vân tay của khóa đường hầm ngược và các đường dẫn tệp dùng để duy trì hoạt động trên macOS và Windows — bao gồm một LaunchAgent được gắn nhãn com.apple.sysmond, một tác vụ đã lên lịch có tên SysMon, và một tập lệnh dự phòng trong thư mục Startup có tên sysmon.cmd — cùng các dấu hiệu dòng lệnh, bao gồm ssh -N -R, autossh -M 0, schtasks /create /tn SysMon, systemsetup -setremotelogin on, và một Add-WindowsCapability lệnh cài đặt tính năng máy chủ OpenSSH.

Cursor lưu ý rằng các yêu cầu tra cứu IP công khai của payload được gửi đến ifconfig.me và api.ipify.org, vốn là các dịch vụ hợp pháp, và chỉ riêng việc truy cập các dịch vụ này không phải là dấu hiệu đáng ngờ. Công ty hướng dẫn gửi câu hỏi tới security@cursor.com.