Bösartige Claude Code-Erweiterung im Cursor-Marktplatz erreichte bis zu 5.000 Nutzer

Ein manipuliertes Build der Claude Code-Erweiterung von Anthropic lag etwa elf Stunden am 29. Oktober im VS Code-Erweiterungsmarktplatz von Cursor, so Cursor [1]. Das Paket Anthropic.claude-code 2.1.313 versuchte, ein SSH-Backdoor zu installieren; höchstens 5.000 Nutzer waren betroffen, und Cursor sagt, Anthropic habe es nicht entwickelt [1].

Was hat die bösartige Claude Code-Erweiterung getan?

Eine manipulierte Claude Code-Erweiterung im Marktplatz von Cursor erreichte höchstens 5.000 Nutzer, so Cursor. Sie war etwa zwischen 2:27 Uhr und 13:35 Uhr Pazifikzeit am 29. Oktober verfügbar, und Cursor sagt, es werde die betroffenen Nutzer direkt kontaktieren [1].

Die bösartige Version versucht, einen SSH-Schlüssel eines Angreifers und einen Reverse-SSH-Tunnel auf Entwicklerrechnern zu installieren. Laut Cursor sammelt sie Hostname, Benutzername, Betriebssystem, Home-Verzeichnis, Umgebungsvariablennamen, Arbeitsverzeichnisse, Git-E-Mail und öffentliche IP und meldet sie an einen Server auf Port 8099 [1].

Sie versucht außerdem, auf dem Rechner zu bleiben: über einen LaunchAgent namens com.apple.sysmond auf macOS und eine geplante Aufgabe namens SysMon auf Windows [1]. Cursor sagt, der Schritt, der den lokalen SSH-Dienst aktiviert, benötigt Admin-Rechte und scheitert auf den meisten macOS- und Windows-Hosts wegen Fehlern im bösartigen Code; der SSH-Schlüssel, die Persistenz und der Datenupload finden dennoch statt [1].

Wie hat Cursor reagiert?

Cursor sagt, es habe die Version entfernt und anschließend den gesamten Erweiterungsmarktplatz vorsorglich heruntergefahren [1]. Es hat Zugriffe geprüft, keine weiteren manipulierten Erweiterungen gefunden, Schlüssel rotiert, den Marktplatz neu aufgebaut und wieder online gebracht [1]. Der Server des Angreifers wurde mit Hilfe des Cloud-Anbieters offline genommen [1].

In einem Post auf X sagte Cursor, der Vorfall betreffe keine anderen Erweiterungen im Marktplatz und forderte alle Kunden auf, Claude Code for VS Code auf Version 2.1.314 zu aktualisieren [2].

Was sollten Cursor-Nutzer jetzt tun?

Cursor sagt, Deinstallation reicht möglicherweise nicht aus, und bittet Nutzer, auf den Schlüssel svc-telemetry zu prüfen. Die Erweiterung fügt einen Angreifer-Schlüssel mit der Bezeichnung svc-telemetry zur SSH-Datei authorized_keys hinzu; Cursor veröffentlicht eine Ein-Zeilen-Prüfung für macOS und Windows sowie Remediation-Skripte in seiner Meldung [1].

Cursor rät außerdem, betroffene Hosts zu isolieren und Anmeldedaten sowie Sitzungen, die von betroffenen Rechnern erreichbar sind, von einem vertrauenswürdigen System aus zu rotieren [1].

Unsere Einschätzung

Meinung: Coding-Agents laufen mit denselben Rechten wie der Entwickler, daher ist ein Erweiterungsmarktplatz nun ein hochattraktives Ziel. Cursors schnelles Herunterfahren und die detaillierten Indikatoren sind das richtige Vorgehen, aber das fehlende Puzzleteil ist, wie das Paket hineingelangte; bis das geklärt ist, sollten Teams Erweiterungsversionen fixieren und ihre SSH-Schlüssel überwachen.

Was wir nicht verifizieren konnten

• Wie der Angreifer das modifizierte Paket in Cursors Marktplatz brachte; Cursors Meldung sagt es nicht.
• Ob Anthropic sich geäußert hat; wir fanden keine Stellungnahme auf Anthropics Newsroom oder auf den Konten @AnthropicAI und @claudeai auf X Stand 30. Oktober 2026, 14:30 CET.
• Wie viele der bis zu 5.000 betroffenen Nutzer die Nutzlast tatsächlich ausgeführt haben und auf wie vielen Rechnern der SSH-Schlüssel oder die Persistenz des Angreifers installiert wurde.
• Ob der offizielle VS Code Marketplace oder Open VSX betroffen waren; Cursor sagt, es habe keine Hinweise, dass andere Versionen der Erweiterung oder die offizielle Distribution betroffen sind, hat aber keine unabhängige Prüfung veröffentlicht.