Claude Code w Cursorze: złośliwa wersja 2.1.313 i co robić

Kto 29 października 2026 roku między 10:27 a 21:35 zainstalował albo zaktualizował rozszerzenie Claude Code w edytorze Cursor, mógł dostać podrobioną wersję 2.1.313, która dopisuje klucz SSH napastnika do komputera. Skrypty, które zostawia, działają także po odinstalowaniu rozszerzenia. Incydent potwierdził Cursor we własnym komunikacie: wersja była dostępna wyłącznie w jego sklepie z rozszerzeniami, dotknęła najwyżej 5 000 osób i według Cursora nie przygotował jej Anthropic. W oficjalnych kanałach Claude Code, czyli w npm i na GitHubie, a także w OpenVSX i sklepie Microsoftu, wersji 2.1.313 nie ma. Stan na 30 października 2026 roku, godz. 13:15.

Co się stało w sklepie rozszerzeń Cursora 29 października

Cursor to edytor kodu zbudowany na Visual Studio Code, który ma własny sklep z rozszerzeniami. Claude Code to narzędzie Anthropic do programowania z pomocą modelu Claude, dostępne w terminalu i jako rozszerzenie edytora. W komunikacie Cursora czytamy, że 29 października od ok. 2:27 do 13:35 czasu pacyficznego w tym sklepie była “złośliwie zmodyfikowana” wersja rozszerzenia Anthropic.claude-code o numerze 2.1.313. W Polsce to godziny od 10:27 do 21:35.

Cursor usunął tę wersję zaraz po wykryciu, a potem na pewien czas wyłączył cały sklep. Sprawdził dostęp i potwierdził, że żadne inne rozszerzenie nie zostało zmienione. Wymienił też własne klucze, przebudował sklep i przywrócił go do działania. Serwer napastnika wyłączył razem z dostawcą chmury, który go utrzymywał. W drugim komunikacie z 30 października Cursor prosi wszystkich o aktualizację rozszerzenia do wersji 2.1.314.

Jak napastnik umieścił paczkę pod nazwą Anthropic w sklepie Cursora, firma do godziny stanu nie wyjaśniła. Wymiana kluczy i przebudowa sklepu sugerują problem po stronie sklepu. To nasz wniosek, Cursor tego nie potwierdził.

Kogo dotyczy złośliwa wersja 2.1.313

Złośliwa wersja dotyczy tylko osób, które instalowały albo aktualizowały rozszerzenie Claude Code w Cursorze, ze sklepu Cursora, 29 października w podanym oknie. Użytkownicy Claude Code w terminalu (pakiet npm) i rozszerzenia w zwykłym VS Code są poza tym incydentem. Zespół OpenSourceMalware napisał po kontakcie z Cursorem, że pakiet npm, rozszerzenie w OpenVSX i rozszerzenie w sklepie Microsoftu nie są złośliwe.

Rejestry sprawdziliśmy sami 30 października ok. 12:50. W pakiecie npm @anthropic-ai/claude-code po wersji 2.1.312 z 27 października jest od razu 2.1.314 z 30 października, a w historii publikacji nie ma śladu 2.1.313. Tak samo wygląda lista zmian w repozytorium Claude Code na GitHubie i lista wydań.

Lista wersji w sklepie pokazuje stan bieżący, więc wersji usuniętej by nie wyświetliła. Dlatego dla OpenVSX i sklepu Microsoftu mocniejszym dowodem od naszego odczytu jest wynik analizy OpenSourceMalware.

Co robiło podrobione rozszerzenie Claude Code na komputerze

Rozszerzenie wyglądało i działało jak zwykłe Claude Code, a złośliwy kod uruchamiał się przy samym jego załadowaniu. Według OpenSourceMalware to 66 linii doklejonych przed właściwym kodem pliku extension.js, więc nie trzeba było nawet zaczynać rozmowy z Claude’em. Reszta paczki była oryginalna.

Cursor wymienia cztery działania:

• zbiera nazwę komputera i użytkownika, system, architekturę, katalog domowy, nazwy zmiennych środowiskowych, katalogi robocze, adres e-mail z konfiguracji Gita i publiczny adres IP;
• dopisuje klucz SSH napastnika z etykietą svc-telemetry do pliku authorized_keys, próbuje włączyć lokalną usługę SSH i otworzyć tunel zwrotny do serwera napastnika;
• ustawia stałe uruchamianie tunelu: na macOS przez LaunchAgent, na Windows przez zadanie harmonogramu SysMon, a gdy to się nie uda, przez skrypt w folderze Autostart; skrypty w tle ponawiają połączenie mniej więcej co 60 sekund;
• wysyła raport o komputerze na port 8099 serwera napastnika.

Firma Phorion, która jako jedna z pierwszych opisała złośliwy kod, i OpenSourceMalware zgodnie piszą, że skrypt wysyłał tylko nazwy zmiennych zawierających m.in. KEY, TOKEN, SECRET albo AWS, bez ich wartości. Napastnik dostawał więc nazwy, które podpowiadają, jakie hasła i tokeny mogą być skonfigurowane na komputerze, ale nie ich wartości. Cursor zastrzega, że to nie wyklucza późniejszego dostępu do haseł i tokenów przez tunel.

Czy napastnik mógł zalogować się na komputer

Na większości komputerów z macOS i Windows logowanie przez tunel się nie udawało, bo włączenie usługi SSH wymaga uprawnień administratora, których rozszerzenie zwykle nie ma. Tak ocenia Cursor. Dodaje, że wyjątkiem była sytuacja, w której Cursor uruchomiono z uprawnieniami administratora. Klucz napastnika i mechanizm stałego uruchamiania trafiały jednak na dysk także wtedy, a raport o komputerze i tak był wysyłany.

Tej oceny nie wolno przenosić na każdy komputer. Phorion opisuje, że na macOS skrypt przez błąd zwykle pomijał włączanie zdalnego logowania. Jeśli jednak zdalne logowanie było na Macu włączone wcześniej albo ktoś włączy je później, klucz napastnika działa. Kod ma też gałąź dla Linuksa: próbuje uruchomić usługę sshd i dopisuje do crontaba wpis @reboot, a przez błąd przy kolejnych uruchomieniach może skasować wcześniejsze zadania crona użytkownika. Cursor podaje skróty złośliwych paczek tylko dla macOS na procesorach Apple i dla 64-bitowego Windowsa. Czy do sklepu trafiła też wersja dla Linuksa, żadne ze źródeł nie mówi.

Serwer napastnika jest wyłączony. Klucz w authorized_keys i skrypty zostają jednak na komputerze, dopóki ktoś ich nie usunie. Czy ktokolwiek zalogował się przez tunel, źródła nie podają.

Jak sprawdzić, czy masz klucz svc-telemetry

Sprawdzenie polega na poszukaniu etykiety svc-telemetry w pliku z kluczami SSH, którym wolno się logować na twoje konto. Cursor podaje gotowe polecenia. Przepisujemy je co do znaku.

Na macOS, w Terminalu:

grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted"

Na Windows, w PowerShellu:

$files = "$HOME\.ssh\authorized_keys", "C:\ProgramData\ssh\administrators_authorized_keys" | Where-Object { Test-Path $_ }
if ($files -and (Select-String svc-telemetry $files)) { "svc-telemetry key found" } else { "No key found; machine not impacted" }

Komunikat “svc-telemetry key found” oznacza, że komputer jest zainfekowany. Oba polecenia tylko czytają pliki i niczego nie zmieniają. Na Linuksie klucz trafia do tego samego pliku ~/.ssh/authorized_keys (według Phorion), więc polecenie z macOS zadziała bez zmian. Wpisy crona zobaczysz poleceniem crontab -l. Szukaj w nich odwołania do ~/.config/.smt.

Phorion zwraca uwagę, że etykietę klucza da się zmienić. Pewniejszy jest odcisk klucza: SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk. Wersję rozszerzenia sprawdzisz w panelu rozszerzeń Cursora. Po aktualizacji powinna to być 2.1.314.

Co zrobić, jeśli klucz jest na komputerze

Jeśli polecenie znalazło klucz, Cursor zaleca kolejno:

1. Odłącz zainfekowany komputer od sieci.
2. Usuń klucz napastnika, mechanizm stałego uruchamiania i działające procesy tunelu. Cursor udostępnia do tego skrypty dla macOS i Windows w swoim komunikacie. Oceń też, czy komputera nie lepiej postawić od nowa.
3. Z innego, zaufanego urządzenia zmień hasła i unieważnij sesje oraz tokeny, do których był dostęp z tego komputera.

Samo odinstalowanie rozszerzenia nie wystarczy, bo skrypty działają niezależnie od niego. Pliki, których szukać, wymieniają Cursor i Phorion. Na macOS to ~/.config/.smt, ~/.config/.smtk i ~/Library/LaunchAgents/com.apple.sysmond.plist. Na Windows to %USERPROFILE%\.config\smt.cmd, %USERPROFILE%\.config\smtk, zadanie SysMon i plik sysmon.cmd w folderze Autostart. Adres serwera napastnika to 134.209.82[.]225 (nawiasy wstawiamy celowo). Firmom Phorion radzi sprawdzić w logach SSH logowania z adresu lokalnego kluczem svc-telemetry, bo tak wyglądałoby wejście przez tunel.

Czy Anthropic został zhakowany

Nie ma dowodów, że Anthropic został zhakowany. Cursor pisze wprost, że złośliwej wersji nie przygotował Anthropic, a wersji 2.1.313 nie ma w oficjalnych kanałach, którymi Anthropic wydaje Claude Code. Jak paczka trafiła do sklepu Cursora, nadal nie wiadomo. Kevin Beaumont zatytułował swój tekst na blogu DoublePulsar “Anthropic hacked” i napisał o 40 mln instalacji rozszerzenia. Ta liczba dotyczy rozszerzenia ogółem. Według Cursora zagrożonych było najwyżej 5 000 osób, które pobrały wersję z jego sklepu.

Phorion napisał z kolei, że wersję 2.1.313 wycofano także z npm i ze sklepu VS Code. Rejestr npm zwykle zostawia w historii datę publikacji także wersji wycofanej, a 2.1.313 w niej nie ma. Do godziny stanu Anthropic nie opublikował komunikatu w serwisie z wiadomościami, a na stronie statusu Claude nie ma wpisu o incydencie.

Rozszerzenia edytora w firmie: co zmienić po incydencie z Cursorem

Rozszerzenie edytora działa z uprawnieniami programisty, więc widzi jego kod, klucze SSH i pliki konfiguracyjne. Ten incydent pokazał też, że sama nazwa znanego wydawcy w sklepie nie wystarcza, gdy sklep prowadzi ktoś inny niż wydawca. Podobny schemat opisywaliśmy przy wtyczkach JetBrains, które kradły klucze API, przy wycieku repozytoriów GitHuba przez wtyczkę VS Code i przy złośliwej wersji LiteLLM.

Co z tego wynika w praktyce:

• Lista dozwolonych rozszerzeń. Zespół instaluje tylko rozszerzenia z zatwierdzonej listy, w zatwierdzonych wersjach.
• Opóźnienie aktualizacji. Nowa wersja rozszerzenia trafia do zespołu dopiero kilka dni po wydaniu. W tym incydencie okno wynosiło ok. 11 godzin.
• Nadzór nad plikami SSH. Narzędzia ochrony stacji roboczych powinny alarmować, gdy edytor zapisuje coś do ~/.ssh/authorized_keys. Phorion pokazał, że to najmocniejszy sygnał tego ataku.
• Wyłączona usługa SSH na laptopach, o ile nie jest potrzebna do pracy.

Jak Cursor ma się do zwykłego VS Code, opisaliśmy w porównaniu VS Code i Cursora. Cursor należy dziś do SpaceX, o czym pisaliśmy przy przejęciu za 60 mld dolarów.

Najczęstsze pytania

Czy Claude Code z terminala jest bezpieczny?

W tym incydencie tak. Złośliwa wersja była tylko rozszerzeniem w sklepie Cursora, a pakiet npm, z którego instaluje się Claude Code w terminalu, nie ma wersji 2.1.313. OpenSourceMalware po kontakcie z Cursorem potwierdza, że pakiet npm nie jest złośliwy. Jak działa narzędzie i jak je instalować, opisuje nasz przewodnik po Claude Code.

Czy aktualizacja do wersji 2.1.314 usuwa backdoora?

Nie. Aktualizacja wymienia samo rozszerzenie, a klucz napastnika i skrypty stałego uruchamiania zostają na komputerze. Cursor zaleca aktualizację wszystkim, ale osoby z kluczem svc-telemetry muszą dodatkowo usunąć ślady i zmienić dane logowania z innego urządzenia.

Podsumowanie

Złośliwa wersja 2.1.313 rozszerzenia Claude Code była w sklepie Cursora 29 października 2026 roku przez ok. 11 godzin, od 10:27 do 21:35 czasu polskiego. Według Cursora pobrało ją najwyżej 5 000 osób. Rozszerzenie dopisywało klucz SSH napastnika, ustawiało stałe uruchamianie tunelu i wysyłało raport o komputerze. Według Cursora logowanie przez tunel na większości Maców i Windowsów się nie udawało, ale klucz i skrypty zostają na dysku po wyłączeniu serwera napastnika i po aktualizacji rozszerzenia. Claude Code z terminala, VS Code ze sklepu Microsoftu i OpenVSX tego incydentu nie dotyczą. Anthropic do 30 października, godz. 13:15, się nie wypowiedział. Jeśli 29 października aktualizowałeś Claude Code w Cursorze, uruchom polecenie sprawdzające, a przy trafieniu odłącz komputer od sieci i zmień hasła z innego urządzenia.