信頼できる名前の裏に隠された汚染されたダウンロード
Anthropicの公式チャネルではなく、Cursorのマーケットプレイスを通じて配布された汚染されたClaude Code拡張機能により、最大5,000人のユーザーが危険にさらされました。これはAnthropicの侵害ではなく、攻撃者がCursorのストアを悪用して改ざんされたビルドをプッシュしたものです。
悪意のあるリストはAnthropicの名前で表示され、MacおよびWindowsユーザーを標的にしていました。この欺瞞的なブランディングにより、ユーザーは公式リリースをダウンロードしていると誤認し、正当性を信じ込んでしまいました。
改ざんされた拡張機能は、2026年10月29日の午前2時27分から午後1時35分（PDT）までの約11時間公開されていました。この期間中に、最大5,000人の開発者がバックドアにさらされた可能性があるとCursorは推定しています。
攻撃者は extension.js に即時実行関数式（IIFE）を注入しました。つまり、対話型コマンドを必要とせず、読み込み時にペイロードがトリガーされました。これにより、パブリックIPアドレス、ユーザー名、Git設定のメールアドレスといった基本的なホストテレメトリが流出しました。
重要なのは、バックドアが攻撃者によって制御されたSSH公開鍵を authorized_keys に植え付けたことです。また、Cursorを再起動しても1分ごとに攻撃者のサーバーへのアウトバウンドSSHリバーストンネルを開くよう、定期的なタスクがスケジュールされました。ペイロードの実装上の欠陥により、非特権マシンでの実行率は最小限に抑えられましたが、脅威は現実的かつ持続的なものでした。
拡張機能はエディタの枠を超えた扉を開いた
改ざんされた拡張機能は待機状態ではなく、読み込みと同時に即座にアクティブ化されました。Node.jsのシステムコールを実行したため、ユーザーがClaude Codeコマンドを呼び出さなくてもペイロードがトリガーされました。このバックドアは、ユーザーのパブリックIPアドレス、ユーザー名、Gitメールアドレスなどの機密情報を迅速に収集しました。
データ流出に加え、ペイロードは攻撃者が制御するSSH公開鍵を authorized_keys に追記しました。その後、60秒ごとに再試行しながら、攻撃者のサーバー（134.209.82[.]225）へのアウトバウンドSSHリバーストンネルを確立しようと執拗に試みました。この永続性はシステム再起動後も生き残るように構築されており、洗練された攻撃の明確な兆候です。
幸いなことに、実装上の欠陥が攻撃の最も危険な側面であるリバーストンネルを無力化することがよくありました。Microsoft Threat IntelligenceとSophosの報告によると、Cursorが管理者権限で実行されていない限り、SSHサービスの有効化は頻繁に失敗しました。攻撃者のコマンド＆コントロール（C2）サーバーも迅速に無力化され、被害の拡大は抑えられました。
これらの失敗にもかかわらず、リスクが完全に軽減されたわけではありません。注入されたSSH鍵やスケジュールされた永続化スクリプトは、影響を受けたマシンにローカルの痕跡を残す可能性があります。2026年10月29日から拡張機能が削除されるまでの間に、トロイの木馬化されたビルド v2.1.312 または v2.1.313 をダウンロードしたユーザーは、トンネルが完全に接続されなかったとしても、侵害の危険にさらされていました。
アンインストールしても危険が残る理由
Cursorから侵害されたClaude Code拡張機能をアンインストールしても、誤った安心感を与えるだけです。バックドアは「永続性」を目的として設計されているため、目に見える拡張機能を削除しただけではマシンをクリーンにすることはできません。スケジュールされたタスク（cronジョブ、plistファイル、またはWindowsのタスクスケジューラ）や authorized_keys ファイルへの不正なエントリなど、悪意のあるアーティファクトが埋め込まれたまま残ります。
攻撃者はユーザーのauthorized_keysに自身のSSH公開鍵を追加し、永続的な足がかりを確立しました。また、このペイロードは60秒ごとにアウトバウンドのSSHリバーストンネルを開こうとする試みをスケジュールしていました。これにより、アンインストール後もアクセスが維持され、密かに開かれたドアが残されることになります。
リスクを真に軽減するためには、影響を受けたユーザーはCursorの公式インシデント報告を確認し、提供されている検出スクリプトを使用する必要があります。このスクリプトは、仕込まれたSSH鍵や永続化メカニズムを特定・削除するのに役立ちます。攻撃のメカニズムに関するより詳細な技術的分析については、Microsoftの分析を参照してください：Inside a malicious Claude Code-branded extension and its persistent SSH backdoor | Microsoft Security Blog。
重要な次のステップには、プロアクティブなセキュリティ対策が含まれます。すべてのパスワード、SSH鍵、およびその他の漏洩の可能性があるシークレットを変更してください。さらなる侵害を防ぐため、これらの変更は別の信頼できるデバイスから実行してください。攻撃者のC2サーバーは無力化され、実装上のバグにより非特権マシンでのリバーストンネルの成功は限定的でしたが、仕込まれた認証情報や流出した基本的なホストテレメトリによる脅威は依然として残っています。
この記事が気に入ったら、毎朝同じようなものをメールで受け取れます。
1日1通 · 2クリックで解除 · サードパーティのトラッキングなし
この侵害はマーケットプレイスの信頼のギャップを露呈させました
Cursorは迅速に対応しました。悪意のある拡張機能を削除し、ストアを閉鎖し、すべての本番環境の鍵をローテーションし、インフラストラクチャ全体を再構築した上で、最終的にパッチが適用されたv2.1.314をリリースしました。この断固とした行動により直接的な脅威は封じ込められましたが、信頼へのダメージは既に生じていました。
Anthropicは自社のシステムが影響を受けていないことを確認しました。MicrosoftのVS Code Marketplace、Open VSX、およびnpmにおける公式のClaude Code配布物は安全なままでした。これによりインシデントの範囲が明確になり、侵害はCursor独自のマーケットプレイスとその特有のセキュリティ体制に限定されていたことが判明しました。
根本的な脆弱性は依然として残っています。攻撃者はどのようにしてCursorのストアへの公開権限を獲得し、トロイの木馬化されたビルドv2.1.312およびv2.1.313を配布できたのでしょうか？この未解決の疑問は、サードパーティのエディタマーケットプレイスにおける重大な信頼のギャップを露呈させています。
このインシデントは、開発者向けツールをホストするあらゆるプラットフォームにおいて、堅牢なパブリッシャー検証、パッケージ署名の義務化、および厳格なセキュリティ管理が緊急に必要であることを浮き彫りにしました。これらがなければ、すべてのマーケットプレイスはサプライチェーン攻撃の潜在的なベクトルとなり、信頼されていた拡張機能が最大5,000人の開発者に対するバックドアへと変貌してしまいます。
よくある質問 (FAQ)
Cursor拡張機能のインシデントにより影響を受けた可能性のあるユーザーは誰ですか？
改ざんされたClaude Code拡張機能が公開されていた約11時間の間に、それをインストールまたは自動更新したCursorユーザーが影響を受けた可能性があります。影響を受けたユーザー数は最大5,000人と推定されています。
Anthropicの公式Claude Codeリリースは侵害されましたか？
いいえ。Anthropicは自社のシステムが侵害されていないことを表明しており、MicrosoftのVisual Studio Marketplace、Open VSX、およびnpm上の公式リリースは影響を受けていません。
拡張機能をアンインストールするだけでバックドアを削除できますか？
必ずしもそうとは限りません。アンインストール後も永続化メカニズムや不正なSSH鍵が残る可能性があるため、影響を受けたユーザーはCursorの検出手順を実行し、システムを検査する必要があります。
影響を受けた可能性のある開発者はまず何をすべきですか？
別の信頼できるデバイスを使用してCursorのクリーンアップガイダンスを確認し、不正なアクセスを削除し、漏洩した認証情報や鍵をローテーションしてください。