対象：Cursorエディタを使っていて、2026年10月29日にClaude Code拡張機能を入れた・更新した人と、開発者の端末を管理しているチーム。本記事はCursorの公式の告知にもとづく解説で、防御のための確認だけを扱います。
続報待ち：この記事は公式発表に合わせて更新します
2026年10月31日時点まだ分かっていないこと
- 改ざん版がAnthropicの名前で公開された経路
- マーケットプレイスの運営側・名前を使われた側のシステムに侵害があったか
- 改ざん版を入れた利用者の数
- バックドア経由で実際にアクセスされた端末の有無
Cursorは10月30日の午前11時30分（太平洋時間）に、指標を改訂し対象の版を明確にして告知を更新しました。同社は、影響の確認結果に問題がなくても、入れた可能性がある人は修復手順に従うよう案内しています。
Cursorの利用者が今日やること
10月29日に入れた・更新したかを確かめる
Cursorが示す期間は、2026年10月29日の太平洋時間で約午前2時27分から午後1時35分で、日本時間では10月29日の午後6時27分から10月30日の午前5時35分にあたります。Cursorの拡張機能の一覧で、Claude Code拡張機能の入っている版を確認してください。Cursorは、Windows・macOSの2.1.312と2.1.313を改ざん版としています。この期間に入れても更新してもいなければ、影響を受けたとはCursorの告知には書かれていません。
authorized_keysに svc-telemetry というラベルの鍵がないか確認する
Cursorは、コードが svc-telemetry というラベルの、攻撃者の管理するSSH公開鍵を追加しようとするとしています。authorized_keys ファイル（macOSでは通常、ホームフォルダの .ssh の中）を開いて、そのラベルを探します。Cursorの告知には、macOSとWindowsそれぞれの確認コマンドが載っています。コマンドは公式の告知のものを使い、ほかの場所に載っていたものは実行しないでください。
常駐の設定を確認する：LaunchAgent、タスクスケジューラ、スタートアップ
Cursorによれば、常駐の仕組みは、macOSではLaunchAgent、Windowsではタスクスケジューラ（予備でスタートアップ）で、約60秒ごとにやり直します。LaunchAgentのフォルダ、タスクスケジューラ、スタートアップのフォルダに、自分で作っていない項目がないか見てください。照合用の名前とファイルの場所は、Cursorの告知にあります。
当てはまるなら、隔離・削除・秘密情報の入れ替え
Cursorは、実行や設置の痕跡がある端末を隔離し、不正な鍵、常駐の設定、トンネルのプロセスを削除し、必要なら端末を再構築するよう案内しています。そのうえで、信頼できる別の端末から、影響を受けた端末で使えた認証情報とセッション（SSH鍵、クラウドやAPIのトークン、Gitやパッケージレジストリのトークン、ブラウザやSaaSのセッション）を入れ替えます。Cursorは、集められた環境変数が限定的でも、のちにバックドア経由で認証情報へアクセスされた可能性は排除できないと注意しています。
入れ替えの考え方と権限を絞った鍵は SSH鍵を最小権限で使う を参照してください。
確認結果が問題なくても、Cursorの修復手順は実行する
Cursorは、OSごとのスクリプトを用意し、影響の確認結果にかかわらず修復手順に従うよう案内しています。連絡先はCursorの告知に載っているセキュリティ窓口です。
チームの場合：開発者が入れられる拡張機能を見直す
許可するIDE拡張機能を決め、重要なものは更新を固定するか確認してから入れ、長期間有効な秘密情報を開発者のノートPCに置かないようにします。パッケージで同じ型の問題が起きた例は npmサプライチェーン攻撃への備え と TanStack・Nx Console・GitHubの連鎖侵害 を参照してください。
何が起きたのか（Cursorの告知より）
以下はすべてCursorの告知にもとづき、同社の発表として書いています（報道と明記したものを除く）。
2026年10月29日 太平洋時間 約午前2時27分
Cursorによれば、最初の改ざん版がCursorの拡張機能マーケットプレイスに現れた。10月29日 約午後1時35分（太平洋時間）
期間の終わり（約11時間）。Cursorが改ざん版を削除し、配布を止めた。10月29日
Cursorがマーケットプレイスを一時停止し、アクセスと他の拡張機能を監査、鍵を入れ替え、マーケットプレイスを再構築して復旧。ホスティング事業者と協力して攻撃者のサーバーを停止させた。10月30日 午前11時30分（太平洋時間）
Cursorが指標を改訂し、対象の版を明確にして告知を更新。
分かっていること・分かっていないこと
2026年10月31日時点の状態です。新しい情報が出たら、この表を書き換えます。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| Cursorのマーケットプレイスの改ざん版 | 2.1.312と2.1.313、Windows・macOS、10月29日の太平洋時間で約午前2時27分から午後1時35分 | 確定（Cursor） |
| 開発者 | Cursorは、Anthropicが開発したものではないとしている | 確定（Cursor） |
| 動作 | 読み込み時に動作。端末・ユーザー情報の収集、攻撃者のSSH鍵の追加、SSH有効化・リバーストンネルの試行、LaunchAgentやタスクでの常駐の設定、端末情報の送信 | 確定（Cursor） |
| SSHの有効化 | 拡張機能が通常持たない管理者権限が必要で、多くの端末では失敗し、攻撃者はトンネル経由でログインできなかったはず。一方、攻撃者の鍵の追加・常駐の設定・端末情報の送信は行われた | 説明あり（Cursor） |
| 他の拡張機能・公式の配布 | 影響を受けた証拠はない | 現時点で証拠なし（Cursor） |
| 他のマーケットプレイス（npm、Open VSX、VS Code Marketplace） | 初期の情報は訂正され、配布元はCursorのマーケットプレイスのみ | 報道（BleepingComputer） |
| 利用者の数 | 最大約5,000人が影響を受けた可能性（報道）。当サイトが確認したCursorの告知に人数の記載なし | 未確認 |
| Anthropicの名前で公開された経路 | 説明なし | 説明なし |
| バックドア経由での端末へのアクセス | 記載なし | 記載なし |
読み方の注意：名前を使われた側は、侵害された側とは限らない
Cursorは、改ざん版はAnthropicが開発したものではないとしています。マーケットプレイスの運営側や名前を使われた側のシステムに侵害があったかは、当サイトが確認した出典では説明されておらず、本記事はどちらも主張しません。「影響を受けた可能性」は、その版が入手できたという意味で、端末にアクセスされたという意味ではありません。
SSH公開鍵の追加（svc-telemetry）
↓→
authorized_keys を確認
→ 見つけたら削除、端末を隔離
常駐の設定（LaunchAgent／タスク／スタートアップ）
↓→
見覚えのない項目を確認
→ 削除。再構築も検討（Cursor）
マーケットプレイスの偽の拡張機能が危険な理由
エディタの拡張機能は、使っている人の権限で動き、通常はファイル、Gitの認証情報、SSH鍵、ターミナルの環境変数に届きます。信頼されている名前の改ざん版は、多くのマルウェアよりも最初から多くの権限を持った状態で始まります。authorized_keys への鍵の追加は、送り手があとから戻ってくる経路を作るためのものなので、拡張機能を消すことと端末をきれいにすることは同じではありません。
一般に、拡張機能を入れる・更新する前には、発行元と正確な名前を確認する、広く使われている拡張機能に突然出た新しい版には慎重になる、新しいツールを試す環境に本番の認証情報を置かない、といった点を心がけてください。
出典
- Cursor「Claude Code拡張機能に関するセキュリティ告知」（2026年10月29日公表、30日更新） — cursor.com
- BleepingComputer「Malicious Claude Code extension on Cursor planted SSH backdoors」（2026年10月30日） — bleepingcomputer.com
更新履歴
2026-10-31：初版。Cursorの告知（10月30日午前11時30分PT更新）にもとづく。公開された経路や利用者の数が説明されたら本記事を更新します。
次に読む
- 認証情報とSSH：SSH鍵を最小権限で使う ／ 多要素認証
- 同じ型のサプライチェーン事案：TanStack・Nx Console・GitHubの連鎖侵害 ／ npmサプライチェーン攻撃への備え
- 2026年の他の事案：情報漏えい・サイバー攻撃の一覧（国内・海外）