Einem Sicherheitshinweis von Cursor zufolge erschien am 29. Oktober 2026 eine böswillig veränderte Version der Claude-Code-Erweiterung im VS-Code-Erweiterungsmarktplatz von Cursor. Die Version wurde nicht von Anthropic entwickelt, trug aber den Namen Anthropic.claude-code und die Versionsnummer 2.1.313 und betraf möglicherweise bis zu 5.000 Nutzer. Cursor hat die Version entfernt und den Marktplatz neu aufgebaut und will betroffene Nutzer direkt kontaktieren.
Was die bösartige Version tat
Laut Cursor versuchte der bösartige Code nach dem Start der Erweiterung, eine dauerhafte SSH-Hintertür zu installieren: Er sammelte Hostnamen, Benutzernamen, Betriebssysteme, Architekturen, Pfade zum Home-Verzeichnis, Namen von Umgebungsvariablen, Arbeitsverzeichnisse, Git-E-Mail-Adressen und öffentliche IP-Adressen; er schrieb einen vom Angreifer kontrollierten SSH-Schlüssel in die Datei authorized_keys, versuchte, den lokalen SSH-Dienst zu aktivieren und einen Reverse-Tunnel zu öffnen; und er nutzte einen LaunchAgent oder eine geplante Aufgabe, um den Tunnel dauerhaft zu halten, etwa alle 60 Sekunden erneut zu versuchen und Hostdetails sowie den Status der Hintertür an einen Angreiferserver zu melden. Cursor erklärte, man habe mit dem Cloud-Anbieter, der den Angreiferserver hostete, zusammengearbeitet, um ihn abzuschalten, sodass der Reverse-Kanal und die Meldungen nicht mehr funktionieren.
Wer jetzt sofort prüfen sollte
Wer zwischen 2:27 Uhr und 13:35 Uhr Pacific Time am 29. Oktober die Version 2.1.313 aus dem Cursor-Marktplatz installiert oder aktualisiert hat, fällt in das betroffene Zeitfenster. Das entscheidende Erkennungsmerkmal ist ein Schlüssel mit der Bezeichnung svc-telemetry in der Datei authorized_keys; wird er gefunden, ist der Rechner betroffen. Cursor warnte, dass das Deinstallieren der Erweiterung nicht ausreicht: Die Schadsoftware hinterlässt eigenständige Persistenz-Skripte, sodass Nutzer den offiziellen Bereinigungsskripten folgen müssen, um den Schlüssel, die Persistenzmechanismen und die Tunnelprozesse zu entfernen, Hosts mit Anzeichen einer Hintertür zu isolieren und Anmeldedaten sowie Sitzungen, auf die betroffene Hosts zugreifen können, von einem vertrauenswürdigen System aus zu rotieren. Nach der Bereinigung sollte auf Version 2.1.314 aktualisiert werden.
Warum der Erweiterungsmarktplatz zur Schwachstelle wurde
Die Gefahr liegt hier in der Vertrauenskette: Die Nutzer luden keine obskure Software von einer unbekannten Website herunter. Im Marktplatz des Editors, den sie täglich nutzen, erhielten sie eine offiziell aussehende Erweiterung mit dem richtigen Namen und der richtigen Versionsnummer. Ein Fenster von elf Stunden reichte aus, damit ein automatisches Update eine Hintertür auf die Rechner von Entwicklern brachte, die oft Zugang zu Code-Repositories, Schlüsseln und Cloud-Anmeldedaten haben. Cursor erklärte, eine Prüfung habe bestätigt, dass keine anderen Erweiterungen manipuliert wurden, und dass Schlüssel rotiert und der Marktplatz neu aufgebaut wurden. Für die Nutzer bleibt die Lehre: Eine Marktplatz-Kennung ist keine Sicherheitsgarantie, und alles Ungewöhnliche rund um SSH-Schlüssel und Persistenzberechtigungen muss als Sicherheitsvorfall behandelt werden, nicht als gewöhnlicher fehlgeschlagener Update.
