Extensão maliciosa do Claude Code no marketplace do Cursor atingiu até 5.000 usuários

Uma build adulterada da extensão Claude Code da Anthropic ficou no marketplace de extensões VS Code do Cursor por cerca de onze horas em 29 de outubro, diz a Cursor [1]. O pacote, Anthropic.claude-code 2.1.313, tentou instalar um backdoor SSH; no máximo 5.000 usuários foram afetados, e a Cursor diz que a Anthropic não o desenvolveu [1].

O que a extensão maliciosa do Claude Code fez?

Uma extensão adulterada do Claude Code no marketplace do Cursor atingiu no máximo 5.000 usuários, diz a Cursor. Ela esteve disponível entre cerca de 2:27am e 1:35pm horário do Pacífico em 29 de outubro, e a Cursor diz que entrará em contato diretamente com esses usuários [1].

A versão maliciosa tenta plantar uma chave SSH de atacante e um túnel SSH reverso em máquinas de desenvolvedores. De acordo com a Cursor, ela coleta o hostname, username, sistema operacional, diretório home, nomes de variáveis de ambiente, diretórios de trabalho, email do Git e IP público, e os reporta a um servidor na porta 8099 [1].

Ela também tenta permanecer na máquina: por meio de um LaunchAgent chamado com.apple.sysmond no macOS, e uma tarefa agendada chamada SysMon no Windows [1]. A Cursor diz que a etapa que ativa o serviço SSH local precisa de direitos de admin e falha na maioria dos hosts macOS e Windows por causa de erros no código malicioso; a chave SSH, a persistência e o upload de dados ainda acontecem [1].

Como a Cursor respondeu?

A Cursor diz que removeu a versão, depois desligou todo o seu marketplace de extensões como precaução [1]. Auditou acessos, não encontrou outras extensões adulteradas, rotacionou suas chaves, reconstruiu o marketplace e o colocou online novamente [1]. O servidor do atacante foi desligado com o provedor de nuvem que o hospedava [1].

Em um post no X, a Cursor disse que o incidente não afeta outras extensões em seu marketplace e pediu que todos os clientes atualizem o Claude Code for VS Code para a versão 2.1.314 [2].

O que os usuários do Cursor devem fazer agora?

A Cursor diz que desinstalar pode não ser suficiente e pede que usuários verifiquem a chave svc-telemetry. A extensão adiciona uma chave de atacante rotulada svc-telemetry ao arquivo SSH authorized_keys; a Cursor publica uma verificação de uma linha para macOS e Windows e scripts de remediação em seu aviso [1].

A Cursor também aconselha isolar hosts que mostrem sinais do payload e rotacionar credenciais e sessões acessíveis a partir de máquinas afetadas, a partir de um sistema confiável [1].

Nossa leitura

Opinião: Agentes de código executam com o mesmo acesso que o desenvolvedor, então um marketplace de extensões agora é um alvo de alto valor. O desligamento rápido da Cursor e os indicadores detalhados são o playbook correto, mas a peça que falta é como o pacote entrou; até que isso seja explicado, equipes devem fixar versões de extensões e monitorar suas chaves SSH.

O que não pudemos verificar

• Como o atacante conseguiu inserir o pacote modificado no marketplace da Cursor; o aviso da Cursor não diz.
• Se a Anthropic comentou; não encontramos declaração no newsroom da Anthropic ou nas contas @AnthropicAI e @claudeai no X até 30 de outubro de 2026, 14:30 CET.
• Quantos dos até 5.000 usuários afetados realmente executaram o payload, e em quantas máquinas a chave SSH do atacante ou a persistência foi instalada.
• Se o VS Code Marketplace oficial ou o Open VSX foram afetados; a Cursor diz que não tem evidência de que outras versões da extensão ou a distribuição oficial sejam afetadas, mas não publicou uma verificação independente.