Un’estensione per Claude Code distribuita sul marketplace di Cursor ha installato una backdoor SSH su computer Windows e macOS, coinvolgendo circa 5.000 utenti il 29 ottobre 2026. Le versioni compromesse sono rimaste disponibili per circa 11 ore, prima che Cursor rimuovesse il pacchetto e pubblicasse una versione sicura.
L’incidente riguarda un attacco alla catena di distribuzione del software e non un problema nei sistemi di Anthropic. L’azienda ha chiarito che l’estensione infetta non era stata sviluppata da Anthropic e che non risultano compromessi né i suoi sistemi né i notebook dei dipendenti.
Le versioni infette di Claude Code e la risposta di Cursor
La compromissione ha interessato le versioni 2.1.312 e 2.1.313 dell’estensione Claude Code per Visual Studio Code, distribuite attraverso il VS Code Extension Marketplace di Cursor. Il pacchetto è rimasto accessibile dalle 2:27 alle 13:35 secondo l’orario locale indicato da Cursor, corrispondenti alle 11:27 e alle 22:35 in Italia.
Durante questa finestra temporale, l’estensione è stata installata da circa 5.000 utenti. Dopo aver individuato il codice dannoso, Cursor ha rimosso l’estensione e ha temporaneamente disattivato il marketplace per le verifiche. L’accesso è stato poi ripristinato dopo la pubblicazione di una nuova versione.
La release considerata sicura è la 2.1.314. Gli utenti che hanno installato una delle versioni precedenti devono disinstallarla e verificare il sistema, perché la semplice rimozione dell’estensione potrebbe non eliminare tutti gli elementi creati dal codice malevolo.
Come funzionava la backdoor SSH su Windows e macOS
Secondo le analisi condotte da diversi ricercatori, tra cui esperti di Microsoft, l’estensione conteneva un loader JavaScript. Il codice veniva eseguito quando l’utente avviava l’estensione e iniziava con la raccolta di informazioni sull’ambiente in cui era installata.
Tra i dati acquisiti figuravano il nome del computer, il nome dell’utente, il sistema operativo, l’architettura hardware, il percorso della directory home e i nomi delle variabili d’ambiente. Il loader raccoglieva inoltre la directory di lavoro, l’indirizzo email configurato per Git e l’indirizzo IP pubblico.
La fase successiva prevedeva l’aggiunta di una chiave SSH e l’attivazione del servizio SSH locale. Il codice poteva quindi aprire un reverse tunnel SSH, consentendo una connessione in ingresso attraverso un canale avviato dal computer della vittima.
Questa parte dell’attacco si attivava soltanto quando Cursor IDE era stato eseguito con privilegi di amministratore. In presenza dei permessi necessari, la backdoor cercava anche di mantenere l’accesso dopo il riavvio del sistema.
Persistenza e collegamento con l’attacco supply-chain
Su macOS, la persistenza veniva ottenuta tramite un LaunchAgent, il meccanismo che consente di eseguire automaticamente determinati processi nell’ambiente dell’utente. Su Windows, invece, il codice creava un’attività pianificata per riattivarsi senza richiedere ogni volta l’intervento dell’utente.
Il reverse tunnel veniva ripristinato ogni 60 secondi. Questa configurazione permetteva alla connessione di tornare attiva anche dopo una temporanea interruzione, aumentando la capacità della backdoor di mantenere il collegamento con l’infrastruttura remota.
L’episodio rientra nella categoria degli attacchi supply-chain: i criminali informatici non colpiscono direttamente ogni singola vittima, ma compromettono un componente, un fornitore o un canale di distribuzione considerato affidabile. In questo caso, il marketplace ufficiale ha funzionato da veicolo per raggiungere gli utenti dell’editor e degli strumenti dedicati allo sviluppo con l’intelligenza artificiale.
Cursor non ha spiegato come sia stato possibile introdurre il loader JavaScript nel pacchetto pubblicato sul marketplace. L’azienda ha però confermato di aver individuato le versioni interessate e ha specificato che le altre estensioni presenti sul marketplace non risultano coinvolte.
Anthropic non è responsabile dell’estensione compromessa
Il nome di Claude Code ha attirato l’attenzione sull’incidente, ma Anthropic ha precisato di non aver sviluppato l’estensione infetta. La distribuzione attraverso il marketplace di Cursor non dimostra quindi una compromissione dei sistemi di Anthropic o del modello Claude.
L’azienda che sviluppa Claude ha fornito supporto durante la gestione dell’evento e ha comunicato che i suoi sistemi e i notebook dei dipendenti non sono stati compromessi. La responsabilità dell’episodio riguarda invece il pacchetto alterato e il canale utilizzato per renderlo disponibile agli utenti.
Gli utilizzatori di Cursor che hanno installato Claude Code il 29 ottobre devono controllare la versione presente sul sistema, rimuovere le release 2.1.312 e 2.1.313 e installare la versione 2.1.314. È inoltre necessario verificare la presenza di chiavi SSH aggiunte, attività pianificate o LaunchAgent non riconosciuti, soprattutto nei casi in cui l’IDE sia stato eseguito con privilegi amministrativi.
Aggiungi MRW alle tue fonti preferite su Google!
