セキュリティ企業のPhorionによると、Anthropicの「Claude Code」拡張機能の改ざん版が、Visual Studio Code互換エディター向けに開発者のコンピューターにSSHバックドアをインストールした可能性があるという。このバージョンを配布したエディターのCursorによれば、最大5,000人のユーザーが影響を受けた可能性がある。
悪意のあるパッケージ（バージョン2.1.313）は、Eclipse Foundationが管理するオープンソース拡張機能プラットフォーム「Open VSX」上に出現した。CursorやWindsurfなどのエディターは、Microsoft独自の製品に限定されているデフォルトの「Visual Studio Marketplace」の代わりに、このストアを利用している。悪意のあるバージョンは同マーケットプレイスでは報告されていない。Cursorによると、改ざん版は2026年10月29日、同社のストアで約11時間利用可能だった。
マシンにインストールされた隠されたアクセス
AnthropicはAIを専門とする米国企業で、主力製品は大規模言語モデル（LLM）シリーズのClaudeである。悪意のあるコードは同社によって開発されたものではない。Cursorによると、それは同社のものではない拡張機能のバージョンに追加された。
Phorionによると、悪意のあるペイロードは攻撃者のSSHキーをマシンの許可されたキーに追加する。SSHは安全なリモート接続プロトコルであり、許可されたキーがあればパスワードなしでコンピューターに接続できる。その後、ソフトウェアは攻撃者のサーバーへのトンネルを開き、攻撃者がマシンに再接続できるようにする。トンネルはエディターを閉じた後もアクティブなままであり、ソフトウェアは約60秒ごとに接続を再確立しようとする。また、Mac、Linux、Windowsで再起動後も存続するメカニズムを設定する。
Phorionによると、拡張機能はマシン名、ユーザー名、オペレーティングシステム、作業ディレクトリ、Gitのメールアドレス、パブリックIPアドレスを攻撃者のサーバーに送信する。また、キー、トークン、パスワード、AWSおよびGCPの認証情報に類似する最大40の環境変数の名前（値ではない）も送信する。PhorionのCEO、Calum Hall氏は「このリストは、クラウド認証情報やAPIトークンを含むホストのインベントリをオペレーターに提供する」と強調した。
macOSでは、SSHサービスがアクティブな場合にのみキーが機能するが、これは多くの場合そうではない。Phorionはこの制限をスクリプトの欠陥チェックに起因するとしているが、保護にはならないと指摘する。Calum Hall氏は「ペイロードがトリガーされるためにユーザーが拡張機能と対話する必要はない」と付け加えた。
Cursorの対応
Cursorはセキュリティアドバイザリで、悪意のあるバージョンを削除し、予防措置としてストアを閉鎖し、アクセスを監査し、キーを更新したと述べている。同社は他の改ざんされた拡張機能は見つからなかったとしている。また、攻撃者のサーバーをホストするクラウドサービスプロバイダーと協力してサーバーをオフラインにし、トンネルとデータ送信を遮断した。Cursorはストアを再構築し、「あらゆるリスクがなくなったことを確認した後」に再開したとXで発表した。
Cursorはまた、他のバージョンの拡張機能や公式ディストリビューションは影響を受けていないと主張している。同社によると、SSHの有効化には管理者権限が必要であり、拡張機能はほとんどのMacおよびWindowsマシンでその権限を取得しないため、これらのシステムでの攻撃者のアクセスは制限されるとしている。
実行すべきチェック
Phorionは、拡張機能をアンインストールしてもバックドアは削除されないと警告している。Cursorによると、悪意のあるペイロードは独立したスクリプトを配置し、実行を継続する。したがって、バージョン2.1.313に拡張機能をインストールまたはアップデートした人は、SSHキー認証ファイルに「svc-telemetry」というエントリが含まれていないか確認する必要がある。Cursorは、macOSおよびWindows向けの確認コマンドとクリーニングスクリプトを公開した。両社はまた、侵害指標（IoC）を共有している。
