2026-10-31
Extensão “Claude Code” adulterada no marketplace do Cursor (29 de out., cerca de 11 horas): como verificar se há um backdoor SSH
A Cursor publicou um aviso de segurança em 29 de outubro de 2026 (atualizado em 30 de outubro) dizendo que as versões adulteradas 2.1.312 e 2.1.313 de uma extensão publicada com o nome da Anthropic (Anthropic.claude-code) foram distribuídas no marketplace de extensões do Cursor para Windows e macOS entre aproximadamente 2:27 e 13:35 (horário do Pacífico) de 29 de outubro. A Cursor afirma que as versões não foram desenvolvidas pela Anthropic. Segundo a Cursor, o código era executado quando a extensão carregava, coletava informações do host e do usuário, adicionava uma chave SSH controlada pelo atacante (com o rótulo svc-telemetry), tentava habilitar o SSH e abrir um túnel reverso, instalava persistência por um LaunchAgent no macOS ou por uma tarefa agendada ou entrada de Inicialização no Windows e enviava detalhes do host ao atacante. A Cursor diz que habilitar o SSH falha na maioria dos hosts, então o atacante não poderia ter entrado pelo túnel ali. A Cursor removeu a extensão, pausou o marketplace, auditou outras extensões, trocou chaves e diz que o servidor do atacante não funciona mais. A Cursor diz não ter evidências de que outras versões ou a distribuição oficial estejam afetadas. O BleepingComputer relata que até cerca de 5.000 desenvolvedores podem ter sido expostos. Nossa conclusão: se você instalou ou atualizou essa extensão no Cursor em 29 de outubro, verifique a chave e as entradas de persistência e troque os segredos acessíveis a partir dessa máquina.