Cursorの拡張機能マーケットプレイスでのClaude Code改ざん版の配布
- タグ
- 国外
Cursorの2026年10月29日の告知では、Cursorの拡張機能のマーケットプレイスで、AnthropicのClaude Code拡張機能を悪意をもって改変した版が入手できる状態になり〔注1〕、永続的なSSHバックドアの設置を試みた［1］。対象はWindowsとmacOS向けの2.1.312と2.1.313である〔注2〕［1］。The Hacker Newsによると、Cursorは影響を最大5,000ユーザーとした［10］。
経緯
Cursorは告知で、cursor.com/marketplaceから入手したほかの拡張機能や、Grok Bot、Grok、そのほかのSpaceXSIの製品には影響しないと説明した［1］。
Microsoftの10月30日の解析では、AnthropicはMicrosoftに対し、自社のシステムは侵害されておらず、Cursorのマーケットプレイスに掲載された悪意あるパッケージを開発していないと確認した［9］。悪意あるパッケージは、Microsoft Visual Studio Marketplaceとnpmの@anthropic-ai/claude-codeからは公開も配布もされていない［9］。Microsoftは、解析を公開した段階の証拠はすべて、事象がCursorのマーケットプレイスに限られることを示すとした［9］。
SecurityWeekと窓の杜によると、AnthropicのFelix Rieseberg氏は、悪意ある者がCursorのマーケットプレイスへのアクセスを使って改ざん版を公開したと述べ［12］、Xには、Cursorと協力しているが従業員のノートPCの侵害でもないと書いた［13］。
観測主体の報告
Phorionの10月30日の報告では、Cursorのマーケットプレイスの公式のClaude Code for VS Code拡張機能のバンドルに、macOS・Linux・Windowsで永続的なSSHバックドアを置くバックドアがあった［7］。Phorionは、2.1.312か2.1.313の利用を確かめ、見つかればインシデント対応に入るよう組織に求めた［7］。
OpenSourceMalwareはCursorから連絡を受け、悪意ある拡張機能の出所はCursorのマーケットプレイスで起きた侵害で、Open VSXではないと知らされた［8］。Cursorのセキュリティチームは、マーケットプレイスが侵害されたことを認めた［8］。Cursorがマーケットプレイス全体を一時止めて再構築したことを根拠に、OpenSourceMalwareは侵害がClaude Codeの1つの拡張機能より大きかったと理解したと書いた［8］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | Anthropic | npmとOpen VSXに2.1.312を公開した（UTC） | ［5、6］ |
| 2026年 | - | 悪意をもって改変された拡張機能がCursorのマーケットプレイスで入手できる状態だった（米国太平洋時間） | ［1］ |
| 2026年 | Cursor | セキュリティの告知を公開した | ［1］ |
| 2026年 | Anthropic | npmとOpen VSXに2.1.314を公開した（UTC） | ［4、6］ |
| 2026年 | Phorion | 報告の初版を公開し、影響したマーケットプレイスをCursorに訂正した（UTC） | ［7］ |
| 2026年 | Cursor | 告知の侵害の指標（IOC）を更新し、影響する版を明確にした（米国太平洋時間） | ［1］ |
| 2026年 | Microsoft | 悪意ある拡張機能の解析を公開した | ［9］ |
| 2026年 | Phorion | Cursorの更新した告知に合わせ、報告に2.1.312を加えた（UTC） | ［7］ |
影響範囲
Cursorのヘルプによると、拡張機能の検索とダウンロードは自社のマーケットプレイスのプロキシ（marketplace.cursorapi.com）を通り、Open VSXをそのまま中継するものではない［14］。検索結果への表示や配信の前に、商用のセキュリティツールで自動のマルウェアとサプライチェーンの解析を行う［14］。
| 動作 | 内容 | 資料 |
|---|---|---|
| 情報の送信 | ホスト名、ユーザー名、OS、アーキテクチャ、ホームディレクトリのパス、環境変数の名前、作業ディレクトリ、設定したGitのメールアドレス、公開IP | ［1］ |
| SSH鍵の追加 | svc-telemetryというラベルの攻撃者の公開鍵をSSHのauthorized_keysに追記する | ［1］ |
| リバースSSHトンネル | ローカルのSSHサービスを有効にし、リバースSSHトンネルを開こうとする | ［1］ |
| 永続化 | macOSはLaunchAgent、WindowsはSYSTEMでの実行を試みるスケジュールタスク（失敗時はスタートアップのスクリプト）。背景のスクリプトが約60秒ごとにトンネルを再試行する | ［1］ |
Cursorの説明では、Cursorを管理者権限で起動したごくまれな場合を除き、悪意あるコードの誤りのためトンネルの手順は失敗する［1］。ローカルのSSHサービスの有効化には管理者権限が要り、多くのmacOS・Windowsのホストで拡張機能はその権限を持たないため、攻撃者はトンネル経由でログインできなかった［1］。Cursorは侵害の指標として、接続先の134[.]209[.]82[.]225と、macOSの~/Library/LaunchAgents/com.apple.sysmond.plist、WindowsのスケジュールタスクSysMonを挙げた［1］。
Phorionは、改ざんされたextension.jsが、圧縮されたバンドルの先頭に即時実行関数（IIFE）を差し込んだものだったと報告した［7］。差し込んだ部分はNodeがファイルを読み込むとすぐ、拡張機能の通常のactivateより前に動き、利用者の操作は要らない［7］。macOSでは、一般の利用者として実行したsystemsetup -getremoteloginが管理者権限のエラーを出して終了状態0で終わるため、スクリプトはSSHの有効化の手順を飛ばす［7］。SSHが動いていないMacでは外からの接続の経路が断たれるが、利用者がRemote Loginをすでに有効にしていたか後で有効にすれば、バックドアは使える状態になる［7］。
OpenSourceMalwareの報告では、パッケージはanthropic.claude-code 2.1.313を名乗り、主なJavaScriptのバンドルの正規のコードの前に66行の悪意あるローダーが差し込まれていた［8］。展開した拡張機能は通常版とほぼ同じで、同梱のバイナリも公式のもので、違うのはextension.jsだけだった［8］。差し込まれたローダーは追加の実行ファイルやスクリプトをダウンロードしない［8］。
Microsoftは、送られるのは条件に合う環境変数の名前で値ではなく、変数に保存された秘密の窃取を示すものではないとした［9］。遠隔アクセスの成否はホストの権限・SSHの設定・攻撃者のサーバーの設定によるが、トンネルが失敗しても鍵と永続化の痕跡は書き込まれうる［9］。
対応と現状
Cursorは告知で、検知後ただちに悪意ある版をマーケットプレイスから削除して配布を止めたと説明した［1］。ほかに次の措置をとった［1］。
- 念のためマーケットプレイス全体を停止した［1］。
- アクセスを監査し、ほかの拡張機能が改ざんされていないことを確認した［1］。
- 鍵をローテーションし、マーケットプレイスを再構築して再開した［1］。
- ホスティング事業者と協力して攻撃者のサーバーを停止させ、そのサーバーへの接続を遮断した［1］。
Help Net Securityによると、CursorはXで、これ以上の危険が無いと確かめてからマーケットプレイスを再開したと述べた［11］。影響を受けた利用者には直接連絡する予定である［11］。
Cursorの告知では、10月29日の米国太平洋時間2時27分から13時35分までに、macOSかWindowsでCursorのマーケットプレイスから2.1.312か2.1.313を導入・更新した利用者に、次の対処を求めた［1］。
- 添付のスクリプトで影響を確かめる［1］。
- 端末・ネットワーク・拡張機能の導入の記録で指標を検索する［1］。
- ペイロードの実行やバックドアの設置の痕跡があるホストを隔離する［1］。
- 不正なSSH鍵・永続化・動作中のトンネルのプロセスを除き、ホストを再構築するかを検討する［1］。
- 影響を受けたホストから到達できる認証情報とセッションを、信頼できる端末からローテーションする［1］。
Cursorは、ペイロードが独立して動き続ける永続化のスクリプトを置くため、拡張機能のアンインストールだけでは足りない可能性があるとした［1］。環境変数の収集が限られていても、バックドア経由の後からの認証情報へのアクセスは否定できないとも書いた［1］。窓の杜は、Cursorが利用者にv2.1.314への更新を呼び掛けていると報じた［13］。
Cursorの告知では、修復スクリプトはmacOS用とWindows用があり、何か残れば0以外の終了状態で終わる［1］。macOS用は影響を受けた利用者ごとにsudoなしで1回実行する［2］。Windows用は管理者として実行し、すべての利用者のプロファイルを処理する［3］。
SecurityWeekは、混乱を避けるため、Anthropicが正規のClaude Code拡張機能を2.1.314に直接更新したと報じた［12］。OpenSourceMalwareは10月30日の報告で、Claude Code拡張機能はCursorのマーケットプレイスでまだ入手できないと書いた［8］。
Microsoftの解析では、拡張機能を更新しても導入先のディレクトリの外に書き込まれた痕跡は消えず、Cursorが報告したサーバーの停止も端末にすでにある痕跡を除かない［9］。Microsoftは、Cursorを使う組織に、承認した発行者への拡張機能の制限と、新しく公開された版の導入を遅らせる猶予の設定を勧めた［9］。
未公表の事項
注
出典
当事者
- ［1］Anysphere, Inc.『Security notice — malicious version of Anthropic.claude-code (2.1.312 and 2.1.313) identified in the Cursor VS Code Extension Marketplace』（2026年10月29日公開、2026年10月30日更新）
- ［2］Anysphere, Inc.『remediate-macos.sh』（公開日不明、2026年11月4日閲覧）
- ［3］Anysphere, Inc.『remediate-windows.ps1』（公開日不明、2026年11月4日閲覧）
関係組織
- ［4］Eclipse Foundation『Anthropic/claude-code 2.1.314』（2026年10月30日公開）
- ［5］Eclipse Foundation『Anthropic/claude-code 2.1.312』（2026年10月27日公開）
- ［6］npm, Inc.『@anthropic-ai/claude-code』（2026年10月30日公開）
調査・観測
- ［7］Phorion『Official Claude Code Extension Compromise: Security Advisory』（2026年10月30日公開、2026年10月31日更新）
- ［8］OpenSourceMalware『Trojanized Claude Code Extension Plants an SSH Backdoor』（2026年10月30日公開）
- ［9］Microsoft Corporation『Inside a malicious Claude Code-branded extension and its persistent SSH backdoor』（2026年10月30日公開、2026年11月1日更新）
報道機関
- ［10］The Hacker News『Official Claude Code Extension on Cursor Marketplace Trojanized with Persistent SSH Backdoor』（2026年10月30日公開、2026年11月1日更新）
- ［11］Help Net Security『Claude Code extension poisoned with persistent SSH backdoor』（2026年10月30日公開）
- ［12］SecurityWeek『Malicious Claude Code Extension Served in Cursor Supply Chain Attack』（2026年11月2日公開、2026年11月3日更新）
- ［13］株式会社インプレス『「Cursor」の拡張機能ストアに「Claude Code」の改竄版、SSHバックドアの設置を試みる』（2026年11月2日公開）
背景資料
- ［14］Anysphere, Inc.『Extensions』（公開日不明、2026年11月4日閲覧）
更新記録
- 2026年11月1日：公開した。
- 2026年11月2日：窓の杜の記事（出典13）を加え、AnthropicのFelix Rieseberg氏のXの投稿を「経緯」に、2.1.314への更新の呼びかけを「対応と現状」に加えた。
- 2026年11月3日：SecurityWeekの記事（出典12、11月3日更新）を加え、Rieseberg氏の発言を「経緯」に、Anthropicによる2.1.314への直接の更新を「対応と現状」に加えた。