KI SpotlightNewsManipulierte Claude-Code-Erweiterung elf Stunden im Cursor-Marketplace
Version 2.1.313 versuchte, einen SSH-Backdoor einzurichten. Cursor nennt höchstens 5.000 Betroffene. Zu Herkunft und Schwere des Vorfalls widersprechen sich die Quellen.
Mit KI erstelltInhalt
◆ Fakten auf einen Blick
- Cursor identifizierte am 29.10.2026 ein Sicherheitsvorfall-Paket: Anthropic.claude-code Version 2.1.313.
- Laut Cursor war die Version von 2:27 bis 13:35 Uhr PT im Cursor-Marketplace verfügbar.
- Cursor nennt höchstens 5.000 betroffene Nutzer und will diese direkt kontaktieren.
- Die Schadfunktion sammelt Systemdaten, versucht einen Reverse-SSH-Tunnel zu öffnen und meldet per HTTP-POST an Port 8099.
- Ein 66-zeiliger Loader ist dem legitimen extension.js vorangestellt und läuft beim Laden der Erweiterung.
Manipulierte Claude-Code-Version elf Stunden im Cursor-Marketplace
Cursor hat am 29. Oktober 2026 einen Sicherheitsvorfall gemeldet. Demnach war eine manipulierte Version 2.1.313 der Erweiterung Anthropic.claude-code zwischen etwa 2:27 Uhr und 13:35 Uhr PT im eigenen Marketplace für VS-Code-Erweiterungen verfügbar. Höchstens 5.000 Nutzer hätten sie erreicht, sagt das Unternehmen. Cursor betont zugleich, Anthropic habe diese Version nicht entwickelt.
Cursor hat die Erweiterung entfernt. Den Server der Angreifer habe das Unternehmen gemeinsam mit dem Cloud-Anbieter abgeschaltet, der ihn hostete. Nach eigener Aussage funktioniert er nicht mehr. Betroffene will Cursor direkt kontaktieren.
Loader legt SSH-Schlüssel an und öffnet Reverse-Tunnel
Die Schadfunktion steckt in einem 66-zeiligen Loader. Er ist dem legitimen Code in der Datei extension.js vorangestellt und startet, sobald der Editor die Erweiterung lädt. Dafür ist kein Claude-Chat nötig.
Der Loader sammelt Systemdaten sowie die Namen, nicht die Werte, von bis zu 40 Umgebungsvariablen. Anschließend versucht er, einen SSH-Schlüssel mit dem Label svc-telemetry in authorized_keys einzutragen. Außerdem soll er den SSH-Dienst aktivieren und einen Reverse-Tunnel zum Ziel 134.209.82.225 öffnen. Per LaunchAgent (macOS) beziehungsweise geplanter Aufgabe (Windows) bliebe der Tunnel dauerhaft bestehen. Über einen HTTP-POST an /beacon auf Port 8099 meldet der Code Rechnerdaten und Status. StepSecurity nennt für die schädliche extension.js den SHA-256-Wert ecb58cb29078d9646ad1dcdbe51526f2d9cfea06be5fb2ab183e8ecc3ab6bf15 und eine Größe von 3.692.922 Bytes.
Cursor empfiehlt ein Update auf Version 2.1.314. Die Deinstallation allein entfernt den Backdoor womöglich nicht. Das Unternehmen stellt Prüf- und Bereinigungsschritte bereit, darunter die Suche nach dem Schlüssel svc-telemetry. Sicherheitsfirmen raten außerdem, Zugangsdaten von einem sauberen Gerät aus auszutauschen.
Cursor oder Open VSX: Herkunft und Schwere bleiben umstritten
Bei der Herkunft widersprechen sich die Quellen. Cursor sieht den eigenen Marketplace als Ursprung, ebenso OpenSourceMalware. Letztere hat ihre Angabe nach Rücksprache mit Cursor aktualisiert. Coralogix, StepSecurity, AlphaSignal und Mallory.ai nennen dagegen Open VSX. StepSecurity zufolge spiegelt der Cursor-Marketplace diese Registry. Wie die Version eingeschleust wurde, ist offen. Eine Stellungnahme von Anthropic und ein Post-Mortem liegen nicht vor.
Laut AlphaSignal fehlt die Version in Anthropics offizieller Release-Folge: Dort folgt 2.1.314 unmittelbar auf 2.1.312. Laut OpenSourceMalware sind das npm-Paket sowie die Erweiterungen auf Open VSX und im Microsoft-Marketplace unbedenklich. Ein Reddit-Beitrag behauptet einen Einbruch bei Anthropic. Das ist unbestätigt, und die Kommentare bezeichnen den Beitrag als irreführend.
Auch die Schwere ist umstritten. Cursor erklärt, der SSH-Schritt scheitere wegen Fehlern im Schadcode meist, außer Cursor lief mit Administratorrechten. Coralogix rät dagegen, jeden Rechner mit 2.1.313 als kompromittiert zu behandeln. Mallory.ai sieht nur die Absicht belegt; die Probe habe auf macOS gezielt. Eine bestätigte Kompromittierung eines Rechners ist im vorliegenden Material nicht belegt.
