本サイトの記事や画像は、AIが公的資料や複数の報道を基に事実関係を整理・再構成し制作したものです。[続きを表示]特定の報道内容や表現を再利用・要約することを目的としたものではありません。ただし、誤りや不確定な情報が含まれる可能性がありますので、参考の一助としてご覧いただき、実際の判断は公的資料や各出典元の原文をご確認ください。[私たちの取り組み]
Cursorは2026年10月30日、同社の拡張機能マーケットプレイスで配布された「Claude Code」の悪意ある更新について、公式のセキュリティ通知を更新した。対象はWindows・macOS向けの2.1.312と2.1.313。SSH経由の遠隔アクセスを試みる不正コードが含まれており、該当版を導入した利用者に端末の点検と除去作業を呼びかけている。
対象はCursor経由の2バージョン
Cursorによると、悪意ある版が配布されたのは10月29日午前2時27分ごろから午後1時35分ごろまで（米太平洋夏時間）。初期報道で中心となった2.1.313に加え、10月30日に更新された公式通知では2.1.312も対象に含まれている。
Ars Technicaが伝えたCursorの説明では、影響対象は最大5,000ユーザーに上る。この数値は対象者数の上限であり、実際に遠隔アクセスや情報取得に成功した端末数を示すものではない。
Phorionの分析によると、不正コードは拡張機能の読み込み時に実行され、攻撃者のSSH公開鍵を端末に追加して、逆方向のSSHトンネルを確立しようとする。macOSではLaunchAgent、Windowsではタスクスケジューラなどを使って接続を維持する仕組みも含まれていた。
ただしCursorは、権限不足やコードの不具合により、多くのWindows・macOS環境でSSHサービスの有効化が失敗すると説明している。マイクロソフトの分析でも、遠隔接続が成立しなくても不正な鍵や常駐ファイルが残る可能性があると指摘された。
また、初期の情報送信には端末名やユーザー名、IPアドレスなどのほか、認証情報に関連する環境変数の名前が最大40件含まれる。環境変数の値そのものは送信対象ではないが、攻撃者が端末の設定状況を把握する手掛かりになり得る。
配信基盤は再開、端末側には除去作業
Cursorは悪意ある版の配布を停止し、マーケットプレイスを一時閉鎖した後、鍵の更新と再構築を経て再開したと説明している。ホスティング事業者と協力し、攻撃者側のサーバーも停止したという。
一方、該当版を導入した端末には不正なSSH鍵や常駐スクリプトが残る可能性がある。Cursorは、SSH公開鍵に付けられた「svc-telemetry」という識別文字列の確認や、常駐処理の除去、必要に応じた認証情報とセッションの更新を求めている。公式通知には確認・修復用スクリプトも掲載されており、拡張機能を削除するだけでは対応が完了しない場合がある。
AnthropicのDavid DworkenとFelix RiesebergもX上で、同社のシステムや従業員端末が侵害された事案ではなく、公式のVS Code・Open VSX配布版は影響を受けていないと説明したとThe Hacker Newsが報じた。マイクロソフトも、自社のVisual Studio Marketplaceとnpmの公式配布経路に悪意あるパッケージが存在しなかったことを確認している。攻撃者が改ざん版をCursorの配信基盤へ登録できた具体的な経緯は明らかになっていない。
参考・出典
- Security notice — malicious version of Anthropic.claude-code (2.1.312 and 2.1.313) identified in the Cursor VS Code Extension Marketplace
- Inside a malicious Claude Code-branded extension and its persistent SSH backdoor
- Official Claude Code Extension Compromise: Security Advisory
- Anthropic VS code extension on Cursor backdoored for nearly 12 hours
- Official Claude Code Extension on Cursor Marketplace Trojanized with Persistent SSH Backdoor
