Un avis de sécurité de Cursor a révélé que le 29 octobre 2026, une version malicieusement modifiée de l'extension Claude Code est apparue sur la place de marché des extensions VS Code de Cursor. Cette version n'a pas été développée par Anthropic, mais elle portait le nom Anthropic.claude-code et le numéro de version 2.1.313, et elle a pu toucher jusqu'à 5 000 utilisateurs. Cursor a retiré la version et reconstruit la place de marché, et a indiqué qu'il contacterait directement les utilisateurs concernés.
Ce que faisait la version malveillante
Selon Cursor, le code malveillant tentait d'installer une porte dérobée SSH persistante après le démarrage de l'extension : il collectait les noms d'hôte, noms d'utilisateur, systèmes d'exploitation, architectures, chemins des répertoires personnels, noms de variables d'environnement, répertoires de travail, adresses e-mail Git et adresses IP publiques ; il écrivait une clé SSH contrôlée par l'attaquant dans le fichier authorized_keys, tentait d'activer le service SSH local et d'ouvrir un tunnel inverse ; et il utilisait un LaunchAgent ou une tâche planifiée pour maintenir le tunnel, en réessayant environ toutes les 60 secondes, tout en signalant les détails de l'hôte et l'état de la porte dérobée à un serveur d'attaquant. Cursor a indiqué avoir collaboré avec le fournisseur cloud hébergeant le serveur de l'attaquant pour le mettre hors ligne, de sorte que le canal inverse et les signalements ne fonctionnent plus.
Qui doit vérifier immédiatement
Toute personne ayant installé ou mis à jour la version 2.1.313 depuis la place de marché Cursor entre 2 h 27 et 13 h 35, heure du Pacifique, le 29 octobre, se trouve dans la fenêtre concernée. Le marqueur clé est une clé intitulée svc-telemetry dans le fichier authorized_keys ; si elle est trouvée, la machine est affectée. Cursor a averti que désinstaller l'extension ne suffit pas : la charge malveillante laisse des scripts de persistance autonomes, il faut donc suivre les scripts officiels de remédiation pour supprimer la clé, les mécanismes de persistance et les processus de tunnel, isoler les hôtes présentant des signes de porte dérobée, et renouveler, depuis un système de confiance, les identifiants et les sessions accessibles depuis les hôtes affectés. Après le nettoyage, il faut passer à la version 2.1.314.
Pourquoi la place de marché des extensions est devenue le point faible
Le danger réside ici dans la chaîne de confiance : les utilisateurs n'ont pas téléchargé un logiciel obscur depuis un site inconnu. Dans la place de marché de l'éditeur qu'ils utilisent chaque jour, ils ont reçu une extension d'apparence officielle, avec le bon nom et le bon numéro de version. Une fenêtre de onze heures a suffi pour qu'une mise à jour automatique dépose une porte dérobée sur les machines de développeurs, qui détiennent souvent l'accès à des dépôts de code, des clés et des identifiants cloud. Cursor a déclaré qu'un audit avait confirmé qu'aucune autre extension n'avait été altérée, et que les clés avaient été renouvelées et la place de marché reconstruite. Pour les utilisateurs, la leçon demeure : l'identité affichée sur une place de marché n'est pas une garantie de sécurité, et toute anomalie touchant aux clés SSH et aux droits de persistance doit être traitée comme un incident de sécurité, et non comme un simple échec de mise à jour.
