本日、Cursor の VS Code 拡張機能マーケットプレイスにおいて、特定の拡張機能パッケージ Anthropic.claude-code バージョン 2.1.313 に関わるセキュリティインシデントを確認しました。この悪意あるバージョンの拡張機能は、Anthropic が開発したものではありません。影響を受けたユーザーは最大 5,000 名で、該当するユーザーの皆さまには当社から直接ご連絡いたします。

#発生した事象

本日の太平洋時間午前2時27分頃から午後1時35分頃までの間、Anthropic の Claude Code 拡張機能を悪意をもって改変したバージョンが、Cursor の VS Code 拡張機能マーケットプレイスで公開されていました。この拡張機能は悪意あるコードを実行し、永続的な SSH バックドアのインストールを試みます。具体的には、次の動作を行います。

• ホストおよびユーザーの情報を収集します (ホスト名、ユーザー名、OS、アーキテクチャ、ホームディレクトリのパス、環境変数名、作業ディレクトリ、設定済みの Git メールアドレス、パブリック IP) 。
• 攻撃者が管理する SSH キーを authorized_keys に追加し、ローカルの SSH サービスを有効にして、リバース SSH トンネルを開こうとします。ただし、悪意あるコード内のエラーにより、Cursor を管理者権限で起動していたという極めて稀なケースを除き、このステップは失敗します。
• LaunchAgent (macOS) 、または SYSTEM 権限での実行を試み、失敗時はスタートアップスクリプトにフォールバックするスケジュールタスク (Windows) を利用して、リバース SSH トンネルの永続化を図ります。バックグラウンドのスクリプトが約60秒ごとにトンネルへの再接続を試みます。
• ポート 8099 の /beacon に HTTP POST を送信し、ホストの詳細とバックドアの状態を報告します。

注: 攻撃者のサーバーはすでに停止しています。

• サーバーをホストしていたクラウドプロバイダーと連携してサーバーをオフラインにしたため、リバースシェルおよびホスト詳細の POST は機能しません。
• これらの指摘は、特定されたパッケージに関するものです。この拡張機能の他のバージョンや公式の配布版が影響を受けているという証拠は確認されていません。
• また、ローカルの SSH サービスを有効にするには管理者権限が必要ですが、ほとんどの macOS および Windows ホストでは、悪意ある拡張機能にこの権限はありません。そうしたホストではこのステップは失敗するため、攻撃者がトンネル経由でログインできた可能性はありません。ただし、攻撃者の SSH キーの追加、永続化の仕組みのインストール、攻撃者へのホスト詳細の送信は実行されます。いずれの場合も、以下の修正手順を必ず実施してください。

#実施した対応

• 悪意のあるバージョンを検出後ただちにマーケットプレイスから削除し、以降の配布をブロックしました。さらに、万全を期して VSCode マーケットプレイス を全面的に停止しました。
• アクセス状況を監査し、他の拡張機能が改ざんされていないことを確認しました。
• キーをローテーションし、マーケットプレイスを再構築したうえで、サービスを再開しました
• ホスティングプロバイダーと連携して悪意のあるサーバーをオフラインにし、同サーバーへの接続をブロックすることで攻撃を阻止しました。

#対応方法

2026年10月29日 午前2時27分(PT)から午後1時35分(PT)までの間に、CursorのVS Code拡張機能マーケットプレイスから Anthropic.claude-code 2.1.313 をインストールまたは更新した場合は、以下の対応を行ってください。

1. 以下の確認手順を実行し、影響を受けているかどうかを検証してください。
2. エンドポイント、ネットワーク、および拡張機能のインストールに関するテレメトリを横断して、以下の侵害指標を検索してください。
3. ペイロードの実行やバックドアのインストールの痕跡が見られるホストを隔離してください。
4. 以下の修正スクリプトを使用して、不正な SSH キー、永続化の仕組み、および実行中のトンネルプロセスを削除し、ホストを再構築すべきかどうかを判断してください。拡張機能をアンインストールするだけでは不十分な場合があります。ペイロードはスタンドアロンの永続化スクリプトを配置し、これらは拡張機能の削除後も実行され続けます。
5. 影響を受けたホストからアクセス可能な認証情報とセッションを、信頼されているシステム上でローテーションしてください。収集された環境変数が限定的であっても、その後バックドア経由で認証情報にアクセスされた可能性は否定できません。

#影響を受けているかを確認する

この悪意のある拡張機能は、svc-telemetry というラベルが付いた攻撃者の公開キーを、あなたの SSH の authorized keys に追加します。これを確認するには、以下を実行してください。

macOS では、次のコマンドを実行します。

grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted"

Windows では、PowerShell で次のコマンドを実行します：

$files = "$HOME\.ssh\authorized_keys", "C:\ProgramData\ssh\administrators_authorized_keys" | Where-Object { Test-Path $_ }
if ($files -and (Select-String svc-telemetry $files)) { "svc-telemetry key found" } else { "No key found; machine not impacted" }

キーが見つかった場合、お使いのマシンは影響を受けています。上記のステップ 3〜5 を実施したうえで、以下からお使いのプラットフォーム向けの修正スクリプトを実行してください。

#影響を受けたマシンの修復

これらのスクリプトは、悪意のある拡張機能、永続化の仕組み、実行中のトンネルプロセス、および攻撃者の SSH キーを削除します。いずれかが残っている場合は、non-zero の終了ステータスで終了します。

macOS では、remediate-macos.sh をダウンロードし、保存先のフォルダで、root ではなく影響を受けたユーザーとして実行してください。

bash remediate-macos.sh

Windows では、remediate-windows.ps1 をダウンロードし、管理者として実行 で起動した PowerShell で保存先のフォルダに移動してから実行してください:

powershell -ExecutionPolicy Bypass -File .\remediate-windows.ps1

#侵害の痕跡 (IoC)

#パッケージ

• 改ざんされたVSIXのSHA-256 (darwin-arm64): 432ccdee3801f99e52b8fe31f69ea9870118e96ea7ef9ecabed1479621b5ab62 (MD5 da5469c4221775e9fe2e413e59ca7fd9)
• 改ざんされたVSIXのSHA-256 (win32-x64): 3de1722901165769893bef57c72594e9a54459faa23f3091b136b79966edd081 (MD5 bd3b71ddf3d0cc3af76249afd2c0eda1)
• 改ざんされたコード: anthropic.claude-code-2.1.313-darwin-arm64 (macOS) または anthropic.claude-code-2.1.313-win32-x64 (Windows) の拡張機能フォルダ内にある extension.js に、134[.]209[.]82[.]225 と svc-telemetry が含まれている

#ネットワーク

• 攻撃者のエンドポイント: 134[.]209[.]82[.]225
• リバース SSH: tunnel@134[.]209[.]82[.]225、TCP 22
• 外部ビーコン: hxxp://134[.]209[.]82[.]225:8099/beacon (HTTP POST)
• ローカルビーコンの試行: 127[.]0[.]0[.]1:8099/beacon (HTTP POST、ループバック)
• ifconfig[.]me / api[.]ipify[.]org へのパブリック IP の照会 — いずれも正規のサービスであり、アクセスしただけでは侵害の痕跡とはみなされません

#SSH

• 不正な公開キー: ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIDdvylCEJ/k2TpezcTfedrkHyFSK9IZ3vmP6vhY4Ss0P svc-telemetry
• 不正なキーのフィンガープリント: SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk
• リバーストンネル用キーのフィンガープリント: SHA256:KOAU57+ZG6u3MG4WwzPzPX2O5YEe9qdOC1Bl+6MVyDQ
• キーのコメント: svc-telemetry

#ファイルと永続化

• macOS: ~/.ssh/authorized_keys 内の不正なキー、~/.config/.smt、~/.config/.smtk、$TMPDIR/.stk_<10 hex>、~/Library/LaunchAgents/com.apple.sysmond.plist (ラベル com.apple.sysmond)
• Windows: %USERPROFILE%\.ssh\authorized_keys、%USERPROFILE%\.config\smt.cmd、%USERPROFILE%\.config\smtk、%TEMP%\.stk_<10 hex>、スケジュールタスク SysMon (SYSTEM 権限での実行を試みる) 、フォールバック先 %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\sysmon.cmd

#プロセス / コマンドライン

• ssh -N -R '*:0:localhost:22'、autossh -M 0
• SSH オプション: StrictHostKeyChecking=no、UserKnownHostsFile=/dev/null、ServerAliveInterval=30、ServerAliveCountMax=3、ExitOnForwardFailure=yes、IdentitiesOnly=yes
• schtasks /create /tn SysMon
• systemsetup -setremotelogin on
• Add-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0

その他ご質問がある場合は、security@cursor.com までお問い合わせください。