VS Code や npm 版の Claude Code を使っている場合、心配すべきか？
Microsoft は、悪意あるバージョンが公式の VS Code Marketplace にも npm の Anthropic-ai/claude-code パッケージにも一度も公開されていないと確認しており、Anthropic も公式の経路は影響を受けていないと述べている。
影響を受けたのは、10月29日の約12時間のあいだに Cursor のマーケットプレイスから 2.1.312 または 2.1.313 をインストールまたは自動更新した人だ。
バックドアは実際に接続できたのか？
SSH の有効化には管理者権限が必要で、拡張機能には通常ないため、Cursor は逆向きのトンネルはほとんどのホストで失敗した可能性が高いと見ている。
ただし鍵と永続化ファイルは書き込まれており、サーバーが停止したのは今は接続できないというだけで、ホストが無害だという意味ではない。
拡張機能をアンインストールするだけで十分か？
十分ではない。Microsoft は、インストール先の外に書かれたファイル、つまり authorized_keys の鍵、LaunchAgent、タスクスケジューラ、cron の項目は削除されないと指摘している。
Cursor は macOS と Windows 向けの修復スクリプトを提供しているが、ホストを再構築するかの判断も勧めている。
環境変数の値は漏れたのか？
The Hacker News のまとめでは、最初の beacon が送ったのは環境変数の名前だけで値は含まれず、後続のペイロードも確認されていない。
ただし名前から、そのマシンがどのクラウドや API の認証情報を持つかが攻撃者に伝わるため、保守的には影響を受けたホストが到達できた認証情報を更新するのが無難だ。
Cursor は 2026年10月29日にセキュリティ告知を出した。Cursor の拡張機能マーケットプレイスで公開されていた ID Anthropic.claude-code のバージョン 2.1.312 と 2.1.313 が改ざんされ、開発者のマシンに永続的な SSH バックドアを残すという。Cursor は、これらのバージョンは Anthropic が開発したものではないと強調している。以下は Cursor の告知と The Hacker News のまとめに基づく。
Cursor の告知によれば、悪意あるバージョンをインストールできたのは10月29日の太平洋時間で午前2:27から午後1:35ごろ、約12時間で、対象は Windows と macOS だ。Cursor は10月30日に侵害指標を更新し、影響を受けるバージョンを明確にした。The Hacker News は Cursor の説明として影響を受けたユーザーは最大5,000人と伝えているが、告知ページ自体に人数はない。攻撃者がどうやって公開権限を得たかは不明だ。Anthropic は自社のシステムや従業員のノート PC は侵害されていないとし、Cursor は攻撃者が Cursor マーケットプレイスへのアクセスを使って改ざん版を公開したと説明している。
マルウェアは主要な JavaScript ファイルの前に約66行のローダーを挿入し、VS Code の起動時と拡張機能の webview を開いたときに動く。ホスト名、ユーザー名、OS、アーキテクチャ、ホームと作業ディレクトリ、Git のメールアドレス、公開 IP、さらに KEY、TOKEN、SECRET、PASS、AWS、GCP を含む環境変数の名前を最大40件（名前のみで値はない）集め、暗号化されていない HTTP で攻撃者のサーバーに送る。また svc-telemetry というラベルの攻撃者の SSH 公開鍵を authorized_keys に書き込み、ローカルの SSH サービスを有効にして逆向きのトンネルを開こうとし、macOS の LaunchAgent、Windows のタスクスケジューラ、Linux の cron で永続化する。SSH の有効化には管理者権限が必要で、拡張機能には通常ないため、Cursor はトンネルはほとんどのホストで失敗した可能性が高いと見ているが、鍵と永続化ファイルは書き込まれる。後続のペイロードは確認されていない。
確認されている配布経路は Cursor マーケットプレイスだけだ。Microsoft は、悪意あるバージョンが公式の VS Code Marketplace にも npm の anthropic-ai/claude-code パッケージにも一度も公開されていないと確認し、Anthropic も公式の経路は影響を受けていないと述べている。Open VSX については、Socket が 2.1.313 が掲載されていた証拠を見つけられず、Open VSX が侵害されたとする初期の報道は後に訂正された。修正版は 2.1.314 で、Open VSX と VS Code Marketplace で入手できる。Cursor は悪意あるバージョンを削除し、マーケットプレイス全体を一時停止して鍵を更新し再構築し、ホスティング事業者と協力して攻撃者のサーバーを停止させ、影響を受けたユーザーには直接連絡するとしている。
最も直接的なのは、~/.ssh/authorized_keys に svc-telemetry というラベルの鍵があるかを調べることで、あれば影響を受けたものとして扱う。ほかの指標には、134[.]209[.]82[.]225 への通信（ポート8099の beacon と TCP 22 の逆向き SSH）、macOS の com.apple.sysmond.plist、Windows のタスク SysMon がある。Microsoft は、拡張機能をアンインストールしてもインストール先の外に書かれたファイルは消えないと注意しており、鍵、トンネルのプロセス、起動項目は別に片付ける必要がある。
10月29日に Cursor で Claude Code 拡張を更新した個人やチームは、今すぐこの鍵のラベルを確認したい。見つかった場合は、そのマシンを隔離し、到達できた認証情報とセッションを更新する。ホストの再構築のコストは通常、鍵の漏えいよりはるかに小さい。今後は2つの習慣を勧める。拡張機能の自動更新を、確認してから更新する方式に変えること、そして Claude Code が公式の経路から入っていることを確かめることだ。今回の件は、攻撃面がモデル自体ではなく、信頼しているマーケットプレイスだったことを示している。