Manipulierte Claude-Code-Erweiterung versuchte SSH-Zugriff über Cursors Marketplace

Manipulierte Version für rund elf Stunden verfügbar

Eine veränderte Version der Claude-Code-Erweiterung für VS-Code-kompatible Editoren war am 29. Oktober 2026 im Erweiterungsmarktplatz von Cursor verfügbar. Betroffen war die Version 2.1.313. Cursor zufolge stand sie ungefähr elf Stunden zum Download bereit; Sophos nennt als Zeitfenster 09:27 bis 20:35 Uhr UTC. Das Unternehmen schätzte die Zahl potenziell betroffener Nutzer auf höchstens 5.000. Diese Obergrenze beschreibt mögliche Betroffenheit, nicht die Zahl bestätigter Infektionen oder erfolgreicher Angriffe. [1][3][5]

Cursor erklärte, die Schadversion sei nicht von Anthropic entwickelt worden. Das Unternehmen bat Nutzer, auf Version 2.1.314 zu aktualisieren, und verwies Betroffene auf weitere Prüf- und Abhilfeschritte. Die bereitgestellten Informationen belegen damit eine manipulierte Veröffentlichung im Cursor-Ökosystem; sie belegen nicht, wer sie eingestellt hat oder wie die Veröffentlichung zustande kam. [2][5]

• Die Analyse von OX Security nennt als betroffene Pakete macOS ARM64 und Windows x64. [4]
• Cursor meldete, keine Hinweise auf eine Beeinträchtigung anderer Erweiterungen gefunden zu haben. Das ist eine Aussage des Unternehmens und keine unabhängige Bestätigung. [1][2][5]

Widersprüchliche Angaben zu Open VSX

Bei der Frage, über welchen Marktplatz die Schadversion verbreitet wurde, gibt es eine Unstimmigkeit: Help Net Security schreibt zu Beginn, Phorion habe das Paket auf Open VSX entdeckt. Derselbe Bericht führt in einem späteren Update jedoch eine Einschätzung an, die Darstellungen einer ebenfalls kompromittierten Open-VSX-Version bestreitet. Cursor sowie Sophos und OX Security verorten die Verfügbarkeit der Schadversion im Cursor-Marktplatz. [2][3][4][5]

Aus den vorliegenden Texten lässt sich deshalb keine zusätzliche Verteilung über Open VSX sicher ableiten. Belastbar dokumentiert ist die Verfügbarkeit in Cursors Marketplace; die abweichende Open-VSX-Angabe bleibt in der Quellenlage widersprüchlich. [2][3][4][5]

Schadcode lief bereits beim Laden der Erweiterung

Nach der Analyse von Phorion war der Schadcode am Anfang der Datei extension.js in das Erweiterungspaket eingefügt. Er wurde ausgeführt, sobald Node.js die Datei lud, noch bevor die reguläre Aktivierungsroutine der Erweiterung startete. Nutzer mussten daher nach dieser Analyse weder eine bestimmte Funktion aufrufen noch auf einen Dialog reagieren, damit der Payload anlief. [2]

Dieser Ablauf ist für die Einordnung des Vorfalls wichtig: Es ging nicht um eine nachgewiesene Schwachstelle in Claude Code oder um einen Angriff, der erst durch eine besondere Nutzeraktion ausgelöst wurde. Verteilt wurde eine manipulierte Version einer bekannten Erweiterung über einen Editor-Marktplatz. Die Berichte weisen Anthropic nicht als Entwickler der Schadversion aus; Cursor erklärte ausdrücklich, Anthropic habe sie nicht entwickelt. [2][4][5]

• Phorion zufolge lud der eingeschleuste Code Standardmodule von Node.js, darunter Funktionen für Dateizugriffe, Systeminformationen, Netzwerkkommunikation und das Starten von Prozessen. [2]
• OX Security identifizierte die manipulierte Datei in den Paketen der Version 2.1.313 für macOS ARM64 und Windows x64. [4]

SSH-Schlüssel und Rückverbindung

Der Payload ergänzte einen vom Angreifer kontrollierten öffentlichen SSH-Schlüssel in der Datei authorized_keys des Nutzerkontos. Der Eintrag trug die Kennzeichnung svc-telemetry. Zusätzlich versuchte die Erweiterung, eine ausgehende SSH-Verbindung zu einem externen Server aufzubauen und darüber einen Rücktunnel zum betroffenen Rechner einzurichten. Ein solcher Tunnel kann einen Fernzugriff ermöglichen, wenn der lokale SSH-Dienst erreichbar und entsprechend nutzbar ist. [2][4]

Die Erweiterung versuchte auch, den SSH-Dienst auf dem jeweiligen System zu aktivieren. Dafür sind laut Cursor Administratorrechte erforderlich, über die die Erweiterung auf den meisten Mac- und Windows-Systemen nicht verfügte. Phorion beschrieb zusätzlich eine fehlerhafte Prüfung, durch die das Aktivieren von Remote Login auf vielen Macs scheiterte. Die Berichte bewerten den SSH-Zugriff deshalb als eingeschränkt, nicht aber den gesamten Payload als harmlos. [2][3][4]

Persistenz und gesammelte Hostinformationen

Die Schadsoftware sollte auch nach dem Schließen des Editors weiterlaufen. Phorion beschrieb Wiederholungsversuche für die Verbindung ungefähr alle 60 Sekunden sowie plattformspezifische Persistenz. OX Security nennt für macOS einen LaunchAgent und für Windows eine geplante Aufgabe namens SysMon; falls deren Einrichtung fehlschlug, sollte unter Windows ein Skript im Autostart zum Einsatz kommen. [2][4]

Daneben sammelte die Erweiterung Informationen über Rechner und Nutzer. Dazu gehörten laut den Analysen Hostname, Benutzername, Betriebssystem, Verzeichnispfade, das konfigurierte Git-E-Mail-Konto und die öffentliche IP-Adresse. Phorion zufolge wurden außerdem die Namen von bis zu 40 Umgebungsvariablen übermittelt, die auf Schlüssel, Token, Passwörter oder Cloud-Zugangsdaten hindeuten könnten. Die Werte dieser Variablen seien dabei auf dem Rechner geblieben. [2][4]

Diese Unterscheidung begrenzt die Aussage über einen nachgewiesenen Datenabfluss: Die Berichte beschreiben die Übermittlung von System- und Metadaten sowie den Versuch, Fernzugriff einzurichten. Sie belegen nicht, dass Zugangsdaten ausgelesen oder missbraucht wurden. Die Variablennamen konnten dem Angreifer nach Phorions Einschätzung jedoch Hinweise geben, welche Rechner möglicherweise Cloud-Zugangsdaten oder API-Token enthalten. [2]

• OX Security nennt als Indikator einen SSH-Schlüsseleintrag mit der Kennzeichnung svc-telemetry. [4]
• Ein gefundener Eintrag oder passende Persistenzdateien sollten im Zusammenhang mit Installationszeitpunkt und weiteren Endpunkt- oder Netzwerkdaten geprüft werden; ein einzelner Indikator ersetzt keine vollständige Untersuchung. [2][4]

Was über erfolgreiche Zugriffe bekannt ist

Cursor erklärte, mit dem Hosting-Anbieter des Angreifer-Servers zusammengearbeitet zu haben, um diesen offline zu nehmen. Dadurch sollten Tunnel und Datenmeldungen nicht mehr funktionieren. Help Net Security berichtet zugleich, dass die Aktivierung des SSH-Dienstes auf den meisten Mac- und Windows-Rechnern an fehlenden Rechten oder Fehlern scheiterte. [2][4]

Die bereitgestellten Berichte nennen keinen bestätigten erfolgreichen Login des Angreifers und keinen belegten Missbrauch von Zugangsdaten. Das schließt einen Zugriff auf einzelne Systeme nicht aus: Einträge in authorized_keys und Persistenzmechanismen konnten laut den Analysen zurückbleiben, und die begrenzte Erfassung von Umgebungsvariablen schließt einen späteren Zugriff über eine funktionierende Hintertür nicht aus. [2][4]

Bereinigung erfordert mehr als eine Deinstallation

Das Entfernen der Erweiterung allein beseitigt den Payload nicht zwangsläufig. Phorion und Cursor warnten, dass zusätzliche Skripte und Persistenzmechanismen unabhängig von der Erweiterung weiterlaufen können. Cursor veröffentlichte Prüf- und Bereinigungshinweise für macOS und Windows; als konkreten Prüfpunkt nennen die Berichte den SSH-Schlüsseleintrag mit dem Vermerk svc-telemetry. [2][4]

Cursor empfahl laut Help Net Security, betroffene Rechner zu isolieren, einen Neuaufbau in Betracht zu ziehen und erreichbare Zugangsdaten sowie Sitzungen von einem vertrauenswürdigen System aus zu erneuern. Phorion verwies außerdem auf SSH-Protokolle, um mögliche Anmeldungen über den fraglichen Schlüssel zu untersuchen. Das sind Maßnahmen für Systeme, auf denen die betroffene Version installiert oder ausgeführt worden sein könnte; die konkrete Reaktion sollte sich an den Ergebnissen der internen Untersuchung orientieren. [2]

Für Unternehmen bedeutet das, zunächst Installations- und Update-Telemetrie für Version 2.1.313 im relevanten Zeitfenster auszuwerten und die betroffenen Geräte zu identifizieren. Anschließend sollten nicht nur Erweiterungsdateien, sondern auch autorisierte SSH-Schlüssel, geplante Aufgaben oder Startobjekte sowie noch laufende Tunnelprozesse geprüft werden. Diese Vorgehensweise folgt aus den von Phorion und OX Security beschriebenen Persistenzmechanismen. [2][4]

• Cursor nahm den Marktplatz nach eigenen Angaben vorübergehend offline, arbeitete mit Anbietern an der Neutralisierung der Schadsoftware und stellte ihn später wieder bereit. [1][5]
• Help Net Security berichtet, Cursor habe den Zugriff geprüft, keine weiteren manipulierten Erweiterungen gefunden, Schlüssel rotiert und den Marktplatz neu aufgebaut. Diese Angaben stammen vom Unternehmen beziehungsweise aus der Berichterstattung über dessen Mitteilung. [2]

Bedeutung für Sicherheitsverantwortliche

Der Vorfall zeigt, weshalb Erweiterungsmarktplätze Teil der Software-Lieferkette sind: Eine Erweiterung kann im Kontext des Entwicklerrechners ausgeführt werden und dort auf lokale Dateien, Prozesse und Netzwerkverbindungen zugreifen. Hier kam die manipulierte Version unter dem Namen einer bekannten Erweiterung in Cursors Marketplace an; laut Phorion startete der eingeschleuste Code bereits beim Laden der Datei. [2][4]

Für Unternehmen folgt daraus nicht, dass Erweiterungsmarktplätze grundsätzlich unsicher sind oder dass jeder Installationsvorgang kompromittiert ist. Die belegte Lehre ist enger: Ein vertrauenswürdiger Name allein schützt nicht vor einer manipulierten Paketversion. Eine wirksame Reaktion muss deshalb auch Versionsnummern, Installationszeitpunkte und das Verhalten auf Endgeräten berücksichtigen. Das ist eine Analyse der beschriebenen Verteilung und Ausführung, keine Aussage über weitere Vorfälle. [2][4][5]

Quellen

1. [1] Malicious Claude Code extension in Cursor's marketplace attempted remote access and data theft — https://the-decoder.com/malicious-claude-code-extension-in-cursors-marketplace-attempted-remote-access-and-data-theft (abgerufen am 2026-10-30)
2. [2] Claude Code extension poisoned with persistent SSH backdoor - Help Net Security — https://www.helpnetsecurity.com/2026/10/30/claude-code-extension-ssh-backdoor (abgerufen am 2026-10-30)
3. [3] Malicious Claude Code extension distributed through Cursor marketplace | SOPHOS — https://www.sophos.com/en-us/blog/malicious-claude-code-extension-distributed-through-cursor-marketplace (abgerufen am 2026-10-30)
4. [4] Malicious Claude Code Extension Installs SSH Backdoor via Cursor — https://www.ox.security/blog/malicious-claude-code-extension-cursor-ssh-backdoor (abgerufen am 2026-10-30)
5. [5] Cursor on X: "We identified a security incident affecting a modified Claude ... — https://x.com/cursor_ai/status/2116074289053175808 (abgerufen am 2026-10-30)