Cursor : une extension Claude Code piégée installe une porte dérobée

Cursor est un éditeur de code basé sur Visual Studio Code, plébiscité par les développeurs pour ses assistants IA intégrés. Sa place de marché d'extensions a diffusé pendant environ onze heures, le 29 octobre 2026, une version piégée de l'extension Claude Code d'Anthropic : selon Cursor, cette version 2.1.313 a pu toucher jusqu'à 5 000 utilisateurs et installait une porte dérobée SSH donnant à l'attaquant un accès distant persistant aux postes concernés.

Que sait-on de l'incident chez Cursor ?

Selon BleepingComputer, la version frauduleuse de l'extension a été disponible sur la place de marché de Cursor du 29 octobre 2026 à 9h27 UTC à 20h35 UTC, soit environ onze heures. Il ne s'agissait pas d'une extension au nom différent qui aurait usurpé Claude Code : c'était bien un paquet modifié de l'extension officielle d'Anthropic, version 2.1.313, touchant les paquets macOS et Windows. Un code malveillant avait été inséré en tête du fichier extension.js de l'extension, de sorte qu'il s'exécutait dès le chargement du module par Node, avant même le point d'entrée habituel de l'extension, sans nécessiter d'action de l'utilisateur.

Le chercheur Calum Hall, de la société Phorion spécialisée sur macOS, a mené l'analyse technique citée par Help Net Security. Cursor a confirmé l'incident dans un avis de sécurité, précisé que la version malveillante « n'a pas été développée par Anthropic », retiré le paquet, suspendu temporairement sa place de marché le temps d'auditer les accès, puis fait couper le serveur de l'attaquant par son hébergeur avant de relancer la place de marché. L'entreprise affirme n'avoir trouvé aucune autre extension altérée et dit prévoir de contacter directement les utilisateurs potentiellement concernés.

À retenir : ce n'est pas une extension imposteur qui a été diffusée, mais une version modifiée de l'extension officielle Claude Code elle-même, distribuée pendant une fenêtre de onze heures directement depuis la place de marché de Cursor.

Que fait la porte dérobée une fois installée ?

D'après l'analyse de Phorion relayée par Help Net Security, le code injecté exécute plusieurs actions dès l'activation de l'extension :

1. Il ajoute une clé SSH contrôlée par l'attaquant au fichier authorized_keys de l'utilisateur, ce qui permettrait une connexion distante avec les droits de ce compte.
2. Il tente d'ouvrir un tunnel SSH sortant vers un serveur distant, avec une nouvelle tentative toutes les 60 secondes environ ; ce tunnel continue de fonctionner même après la fermeture de l'éditeur.
3. Il installe un mécanisme de persistance différent selon la plateforme : un fichier de démarrage au nom imitant une convention Apple sur macOS, une tâche planifiée via cron au redémarrage sur Linux, et une tâche planifiée nommée « SysMon » (sans rapport avec l'outil Sysinternals du même nom) sur Windows, avec un repli dans le dossier de démarrage.
4. Il transmet des informations sur la machine à l'attaquant : nom d'hôte, nom d'utilisateur, système d'exploitation, répertoires personnel et de travail, adresse e-mail Git et adresse IP publique.
5. Il envoie également les noms, mais pas les valeurs, de jusqu'à 40 variables d'environnement dont le nom évoque des clés, jetons, mots de passe ou identifiants cloud AWS ou GCP.

Une erreur dans le code empêche l'activation de l'accès SSH distant sur la plupart des postes macOS et Windows, ce qui limite l'impact réel sans l'annuler : la reconnaissance de l'hôte et la tentative de persistance s'exécutent malgré tout.

Chronologie de l'incident

Comment se protéger et vérifier une compromission ?

• Identifiez les postes concernés : tout ordinateur ayant eu Cursor installé entre le 29 octobre 9h27 UTC et le 30 octobre 20h35 UTC doit être vérifié, qu'il tourne sous macOS, Windows ou Linux, même si l'extension ne semble plus présente aujourd'hui.
• Ne vous arrêtez pas à la désinstallation de l'extension : elle ne supprime pas la porte dérobée déjà déposée. Vérifiez le fichier authorized_keys à la recherche d'une clé inattendue, en particulier une entrée portant un libellé du type svc-telemetry.
• Recherchez les mécanismes de persistance : une tâche planifiée Windows nommée « SysMon », une entrée cron au redémarrage sous Linux, ou un fichier de démarrage macOS au nom proche des conventions Apple mais non reconnu.
• Contrôlez les journaux d'authentification à la recherche de connexions SSH locales utilisant une clé inconnue, et surveillez les connexions sortantes vers des serveurs non reconnus depuis les postes de développement.
• Faites tourner les secrets accessibles depuis un poste potentiellement touché : jetons d'API, clés cloud, identifiants Git, en particulier ceux dont le nom de variable d'environnement pourrait avoir attiré l'attention de l'attaquant.
• Repartez d'un système sain en cas de doute : pour un poste de développement ayant des accès sensibles (dépôts de code, secrets de production), une réinstallation complète reste la mesure la plus sûre après ce type d'incident.

Cet épisode rappelle la logique de la faille AGENTS.md qui a piégé Codex et Claude Code : les outils de développement assistés par IA élargissent la surface d'attaque disponible pour les chaînes d'approvisionnement logicielles, bien au-delà du seul code source d'un projet. Ce type de compromission d'une extension d'éditeur de code n'est pas isolé : la campagne GlassWorm cible déjà les extensions VS Code depuis plusieurs mois, avec des objectifs comparables de vol d'identifiants et de persistance.

L'avis du CSIRT

La priorité immédiate concerne les postes qui avaient Cursor installé pendant la fenêtre d'exposition, qu'une activité suspecte ait été constatée ou non : l'erreur de code qui empêchait l'activation SSH sur la plupart des machines macOS et Windows n'a bloqué ni la reconnaissance de l'hôte, ni la tentative de persistance, ni l'exfiltration des noms de variables d'environnement. Les équipes doivent donc traiter chaque poste exposé comme potentiellement compromis, plutôt que de se fier à l'absence de symptôme visible.

La détection ne repose pas sur une signature de logiciel malveillant classique, puisque le code s'exécute dans le contexte légitime d'une extension d'éditeur signée. Les signaux à chercher sont comportementaux : apparition d'une clé dans authorized_keys, connexions SSH sortantes répétées vers une même adresse externe à intervalle régulier, création d'une tâche planifiée ou d'un fichier de démarrage inhabituel sur la période concernée.

Le piège le plus fréquent après ce type d'incident est de considérer la désinstallation de l'extension comme suffisante : les mécanismes de persistance survivent à ce retrait et continuent de fonctionner indépendamment de l'éditeur. Après correction, vérifiez systématiquement la présence résiduelle de la clé SSH ajoutée, des tâches planifiées créées pendant la fenêtre d'exposition, et des connexions encore actives vers l'infrastructure de l'attaquant, avant de considérer l'incident clos.

Points clés

• Entre le 29 et le 30 octobre 2026, une version piégée (2.1.313) de l'extension officielle Claude Code a circulé pendant onze heures sur la place de marché de Cursor, touchant potentiellement jusqu'à 5 000 utilisateurs.
• Le code injecté ajoutait une clé SSH contrôlée par l'attaquant, tentait d'ouvrir un tunnel SSH persistant et transmettait des informations sur l'hôte, y compris les noms de variables d'environnement sensibles.
• Une erreur de code limite l'activation réelle de l'accès SSH distant sur la plupart des machines, sans empêcher la reconnaissance et la tentative de persistance.
• Désinstaller l'extension ne suffit pas : il faut vérifier authorized_keys, les tâches planifiées, les tunnels actifs, puis faire tourner les identifiants exposés.
• Cursor a retiré le paquet, audité ses accès et affirme n'avoir trouvé aucune autre extension altérée sur sa place de marché.

Sources

• BleepingComputer : Malicious Claude Code extension on Cursor planted SSH backdoors
• Help Net Security : Claude Code extension poisoned with persistent SSH backdoor