Cursor公式マーケットプレイスの「Claude Code」にSSHバックドアが発見される

Cursorは2026年10月29日、公式マーケットプレイスで配布されていたClaude Codeのバージョン「2.1.312」と「2.1.313」に悪意あるコードが含まれていたと発表しました。問題の拡張機能が公開されていたのは日本時間の10月29日18時27分頃から10月30日5時35分頃まで。対象として確認されたのはmacOS版とWindows版で、Cursorは両バージョンの配布を停止しています。

セキュリティに関するお知らせ — Cursor VS Code 拡張機能マーケットプレイスで Anthropic.claude-code の悪意あるバージョン（2.1.312 および 2.1.313）を確認 · Cursor
https://cursor.com/ja/blog/claude-code-extension-security-notice

Claude CodeはAnthropicが開発するAIコーディングツールで、プログラムの作成や修正などをAIに任せることができます。Visual Studio Code(VS Code)向けの拡張機能も提供されており、Cursor上でも利用できます。

Phorionは今回の問題について、拡張機能に仕込まれた悪意あるコードの動作を詳しく分析しています。攻撃者は拡張機能の「extension.js」というファイルの冒頭に悪意あるコードを追加しており、拡張機能が読み込まれた段階で不正な処理が始まる仕組みだったとのこと。

分析によると、今回の悪意あるコードはネットワーク経由で別のコンピューターを遠隔操作するための仕組みであるSSHを悪用するものだったとされています。攻撃者はSSH接続を許可する「authorized_keys」というファイルに自分の公開鍵を追加し、不正にログインできる状態を作ろうとしていました。

さらにPCから攻撃者のサーバーへ接続する「リバースSSHトンネル」も設定されており、攻撃者が外部サーバーを経由してPCに接続できるようになっていました。また、macOSのLaunchAgent、Linuxのcron、Windowsのタスクスケジューラなどを使用してPCの再起動後も接続を再開するコードも含まれていたとのこと。

バックドアにはPC名やユーザー名、OSの種類、公開IPアドレス、Gitに設定されたメールアドレスなどを収集して攻撃者に送信する機能も組み込まれていました。Phorionによると、パスワードやAPIキーなどに関連する環境変数の名前も収集対象でしたが、環境変数に保存された秘密情報そのものを送信する処理は確認されなかったそうです。

なお、多くのmacOSおよびWindows環境では管理者権限が不足するため、今回問題となったコードではSSHサービスの有効化に失敗するとCursorは説明しています。ただし、攻撃者のSSH鍵の追加や自動起動設定の作成、PC情報の送信は実行されているうえ、SSHサービスが有効になっているPCでは不正アクセスにつながる可能性があるとのこと。

Cursorは問題の拡張機能を削除するとともにマーケットプレイスの一時停止や調査を実施し、攻撃者が使用していたサーバーも停止させました。また、影響を受けたユーザー向けに確認手順と修復用スクリプトを公開しています。Claude Codeをアンインストールしても不正なSSH鍵や自動起動設定が残る可能性があるため、該当バージョンをインストールしたユーザーには追加の対処を推奨しています。

なお、エンジニアが集うニュース共有サイト「Hacker News」にAnthropicの関係者が登場し、Anthropicのシステムや従業員のPCが侵害された事件ではなく、Cursorのマーケットプレイスを通じて改ざん版が公開されたものであることを強調。Anthropicの公式配布経路にあるClaude Codeは影響を受けていないと述べました。