偽のClaude Code拡張、Cursorのストアで配布　SSH裏口

AIコードエディター「Cursor（カーソル）」は10月29日（米国時間）、同社の拡張機能マーケットプレイスに、バックドアを仕込んだ米アンソロピックの「Claude Code（クロード・コード）」拡張機能が掲載されていたと公表した。Cursorのセキュリティー告知によると、改ざんされたバージョン2.1.312と2.1.313は同日の太平洋時間午前2時27分ごろから午後1時35分ごろまで配布されていた。Cursorはこれらが「アンソロピックが開発したものではない」としている。

不正コードは開発者のPCに攻撃者のSSH鍵を仕込み、リバーストンネルを開こうとした。Cursorはセキュリティー専門メディアのザ・ハッカー・ニュースに対し、インストールしたのは「最大5000人」だと説明した。

要点

• 偽のClaude Code 2.1.312と2.1.313（Windows・macOS向け）が10月29日、約11時間にわたりCursorのマーケットプレイスで配布された。
• 不正コードは端末情報を収集し、SSH鍵「svc-telemetry」と常駐型リバーストンネルを設置しようとした。
• Cursorは拡張機能の削除だけでは不十分な可能性があるとして、鍵の削除や認証情報の更新、端末の再構築の検討を勧めている。

Claude Code拡張のバックドアの仕組み

バージョン2.1.313を解析したセキュリティー企業オープンソースマルウェア（OpenSourceMalware）は解析レポートで、拡張機能の本体ファイル「extension.js」の先頭に66行のローダーが追加されていたと指摘した。コードは拡張機能の読み込みと同時に動く。同社は「ユーザーがClaudeとの会話を始める必要すらない」と記している。

Cursorによると、ローダーはホスト名、ユーザー名、OS、作業ディレクトリー、Gitのメールアドレス、グローバルIPアドレス、環境変数の名前を集めた。環境変数は値ではなく名前だけを取得した。

続いてSSH鍵を追加し、SSHサービスを有効にしたうえで、攻撃者のサーバーへのリバースSSHトンネルを開こうとした。Cursorは、管理者権限がなければこの段階は「おおむね失敗する」としている。常駐にはmacOSのLaunchAgent「com.apple.sysmond.plist」やWindowsのタスク「SysMon」が使われ、約60秒ごとに再試行する仕組みだった。

Cursorとアンソロピックの対応

Cursorは不正なバージョンを削除し、マーケットプレイスを一時停止したうえで鍵を更新し、再構築したと説明した。ほかの拡張機能に改ざんはなく、攻撃者のサーバーも停止させたという。ただ、不正パッケージが掲載された経緯はまだ明らかにしていない。

オープンソースマルウェアによると、npmパッケージ「@anthropic-ai/claude-code」と、Open VSXおよびマイクロソフトのVS Codeマーケットプレイスの拡張機能は影響を受けていない。ザ・ハッカー・ニュースは、アンソロピックが10月30日に正規版2.1.314を両マーケットプレイスで公開したと報じた。アンソロピックのGitHubでは正規の2.1.312が10月27日に公開されており、攻撃者は実在するバージョン番号を流用したことになる。

背景：自動更新が攻撃経路に

不正版は公式の拡張機能ID「anthropic.claude-code」のまま配布されたため、自動更新を有効にしていた利用者は何もしなくても受け取る恐れがあった。オープンソースマルウェア共同創業者のジェン・ギル（Jenn Gile）氏はザ・ハッカー・ニュースに「Claude Codeを自動更新に設定していた人は誰でもマルウェアを取り込んだ可能性がある」と語った。

AIコーディングツールは開発者本人の権限でソースコードやクラウドの鍵、社内サーバーにアクセスする。拡張機能一つが破られれば、被害はエディターの外に広がる。

今後の見通し

Cursorは影響を受けた利用者に直接連絡するとし、macOSとWindows向けの復旧スクリプトを公開した。告知には「拡張機能をアンインストールするだけでは十分でない可能性がある」とある。オープンソースマルウェアは「既知の痕跡を消せば信頼が戻ると考えるより、端末を再構築する方が安全だ」と勧めている。

よくある質問

自分のPCは影響を受けたのか。

10月29日の該当時間帯に、CursorのマーケットプレイスからClaude Code 2.1.312か2.1.313をインストールした場合が対象だ。~/.ssh/authorized_keysに「svc-telemetry」という鍵がないかを確認する。

被害を受けた場合はどうすべきか。

端末をネットワークから切り離し、鍵と常駐用ファイルを削除する。そのうえで安全な別の端末から関連する認証情報をすべて更新し、端末の再構築も検討する。

VS Codeの利用者も危険なのか。

現時点で、不正版がマイクロソフトのVS CodeマーケットプレイスやOpen VSXに掲載された形跡は確認されていない。

参考資料

• Security notice: malicious version of Anthropic.claude-code (2.1.312 and 2.1.313) identified in the Cursor VS Code Extension Marketplace — Cursor（2026年10月29日、10月30日更新）
• Trojanized Claude Code Extension Plants an SSH Backdoor — OpenSourceMalware（2026年10月30日）
• Releases · anthropics/claude-code — GitHub
• Official Claude Code Extension on Cursor Marketplace Trojanized with Persistent SSH Backdoor — The Hacker News（2026年10月30日）