Cursor：偽のClaude Code拡張機能が最大5,000人のユーザーにSSHバックドアの設置を試みる

Cursorは10月30日金曜日、パリ時間8時46分、同社のコードエディタ向け拡張機能マーケットプレイスにおけるセキュリティインシデントを公表した。VS Code向けClaude Code拡張機能の改ざん版が、Anthropic.claude-codeのバージョン2.1.313として、10月29日の一部時間帯に配信されていた。CursorによるとAnthropicが開発したものではなく、開発者のマシンにSSHバックドアを設置しようと試みていたという。対象となるユーザーは最大5,000人である。

偽装拡張機能の動作内容

Cursorが公開したセキュリティ通知によると、悪意あるバージョンは太平洋時間の10月29日2時27分頃から13時35分頃（パリ時間の10時27分から21時35分）にかけて入手可能な状態にあった。インストールされると、以下の処理を実行した：

• マシン情報の収集：ホスト名、ユーザー名、OS、アーキテクチャ、ホームディレクトリ、環境変数の名前、作業ディレクトリ、Gitに設定されたメールアドレス、パブリックIP。
• authorized_keysファイルへの攻撃者が管理するSSH鍵の追加、ローカルSSHサービスの有効化、および攻撃者のサーバーへのリバースSSHトンネルの開設の試行。
• macOSのLaunchAgentやWindowsのタスクスケジューラを介したトンネルの永続化（約60秒ごとに接続を再試行するスクリプトによる）。
• 収集した情報とバックドアの状態の攻撃者サーバーへの送信。

Cursorは被害の深刻度について一定の補足を行っている。SSHサービスを有効化するには管理者権限が必要だが、一般的なmacOSやWindowsの環境では拡張機能にその権限がない。そのため、該当するマシンではこの手順が失敗し、攻撃者はトンネル経由で接続できなかった。しかし、鍵の追加、永続化スクリプトの配置、情報の送信はそのまま実行されており、拡張機能をアンインストールするだけでは独立したスクリプトが残るため不十分である。なお、攻撃者のサーバーはホスティング事業者の協力によりすでに停止されている。

Cursor側の対応

Cursorは問題を検知した直後に当該バージョンを削除し、予防措置として拡張機能マーケットプレイス全体を一時閉鎖した。アクセスログの監査を実施して他に改ざんされた拡張機能がないことを確認し、鍵を更新した上でマーケットプレイスを再構築して再開した。同社は、他のバージョンの拡張機能や公式に配布されているClaude Codeが影響を受けた兆候はないとしており、対象のユーザーには直接連絡を取る予定である。

Cursorユーザーが取るべき対応

Cursorは全顧客に対し、VS Code向けClaude Codeをバージョン2.1.314へアップデートするよう要請している。10月29日の該当時間帯にCursorのマーケットプレイスから同拡張機能をインストールまたは更新したユーザーは、自身のマシンが影響を受けているか確認する必要がある。通知には、macOSおよびWindows向けに、許可されたSSH鍵の中から攻撃者の鍵（svc-telemetryというコメントで識別可能）を検索するコマンドが掲載されている。鍵が見つかった場合、Cursorはマシンをネットワークから隔離し、提供されている駆除スクリプトを実行した上で、OSの完全な再インストールを検討し、そのマシンからアクセス可能だったパスワード、鍵、セッションを別のマシンから変更することを推奨している。Cursorのセキュリティ通知には、セキュリティチーム向けの痕跡情報（パッケージのハッシュ値、関連ファイル、プロセス）も詳しく記載されている。

現時点で未解明の点

Cursorは、開発元であるAnthropicの名称を騙る改ざん版がなぜマーケットプレイス上で公開できてしまったのかを説明していない。また、実際に攻撃者の鍵が設置されたマシンの正確な数も明かされておらず、5,000人という数字はあくまで上限である。