Am 13. November hat Cursor in seinem offiziellen Blog die Ergebnisse der Untersuchung des Sicherheitsvorfalls vom 29. Oktober veröffentlicht: Ausgangspunkt des Angriffs war ein Zugangsschlüssel, der beim Drittanbieter Fireworks durchgesickert war. Der Angreifer nutzte ihn, um Coding-Agent-Traces aus einem schreibgeschützten Speicher-Bucket zu kopieren, und schmuggelte eine manipulierte Kopie der Claude-Code-Erweiterung in den Cache des Cursor-Erweiterungsmarktplatzes. Bis zu 5.000 Nutzer könnten die verseuchte Version installiert haben. Die große Mehrheit der Nutzer war nicht betroffen, und Cursor hat jeden betroffenen Nutzer einzeln kontaktiert.
Wie der Angriff ablief
Die Untersuchung rekonstruiert den Ablauf ungefähr so: Er begann bei Fireworks. Der Angreifer gelangte an einen Schlüssel, den Cursor an den Anbieter vergeben hatte, und kopierte Coding-Agent-Traces, überwiegend aus dem Jahr 2025, aus einem schreibgeschützten Bucket. Eine kleine Zahl ungeschwärzter Datensätze enthielt Zugangsdaten, wodurch die API-Zugangsdaten von weniger als 0,01 % der Nutzer offengelegt wurden. Mit diesen Daten verschaffte sich der Angreifer Zugang zu einigen SaaS-Tools, die Cursor nutzt, und griff auf archivierte Nicht-Produktions-Quellcode-Repositories, Kundensupportdaten und E-Mail-Verläufe, Produktnutzungsmetriken sowie Zugangsdaten zu, die Nutzer an das Supportteam geschickt hatten. Nachdem die Überwachungssysteme von Cursor die unbefugte Aktivität entdeckt hatten, deaktivierte das Unternehmen den Schlüssel des Anbieters und begann, Zugangsdaten zu rotieren und nach weiteren unbefugten Zugriffen zu suchen.
Die zweite Stufe war die schädliche Erweiterung. Am 29. Oktober platzierte der Angreifer mit gestohlenen Zugangsdaten manipulierte Kopien der Claude-Code-Erweiterung in den Versionen 2.1.312 und 2.1.313 im Cache des Cursor-Erweiterungsmarktplatzes, wo sie etwa elf Stunden lang verfügbar waren, bevor sie entfernt wurden. Anthropic hat diese Kopie nicht veröffentlicht, und Open VSX, die Quelle des Marktplatzes, wurde nie infiziert. Bis zu 5.000 Nutzer, die bestimmte zwischengespeicherte Versionen angefordert hatten, könnten sie erhalten haben. Am 30. Oktober veröffentlichte Cursor einen Sicherheitshinweis und Prüfskripte und begann, betroffene Nutzer und Team-Administratoren zu benachrichtigen; die letzte Angreiferaktivität wurde am 1. November beobachtet und blockiert. Cursor geht davon aus, dass der Vorfall eingedämmt ist.
Wer seine Installation prüfen sollte
Nutzer, die keine Benachrichtigung erhalten haben, hatten keine Daten in den offengelegten Traces und müssen nichts weiter tun — auch bei Nutzern ohne Privatsphärenmodus waren weniger als 0,05 % der Coding-Agent-Traces betroffen. Wer jedoch am 29. Oktober die Claude-Code-Erweiterung in den Versionen 2.1.312 oder 2.1.313 aus dem Cursor-Erweiterungsmarktplatz installiert oder aktualisiert hat, sollte die Schritte im offiziellen Sicherheitshinweis befolgen; die Erweiterung nur zu deinstallieren, reicht nicht aus. Prompts und Code von Nutzern im Privatsphärenmodus, Produktionssysteme, die Cursor-App und ihre offiziellen Updates sowie Kunden-Code-Repositories waren nicht betroffen. Bei Cursor war zuletzt einiges los: OpenAI-Modelle haben Cursor am 12. November verlassen.
Cursor hat den gesamten Inferenz-Traffic von Fireworks abgezogen und den betreffenden Schlüssel deaktiviert, alle internen Zugangsdaten rotiert, den Erweiterungsmarktplatz neu aufgebaut und externe Forensik-Experten hinzugezogen. Der Vorfall ist auch eine Erinnerung an alle Entwickler: Die Cache-Schicht eines Erweiterungsmarktplatzes kann selbst zur Angriffsfläche werden — prüfen Sie vor der Installation einer Erweiterung, ob der Herausgeber der offizielle ist.
