目次
2026 年 10 月 29 日、Cursor はセキュリティ通告を公開した。Cursor の VS Code Extension Marketplace に、悪意ある改変版 Anthropic.claude-code 2.1.312 および 2.1.313（Windows／macOS）が出ていた。Cursor はこれらのパッケージが Anthropic 製ではないと記している。通告によると、cursor.com/marketplace から入手した他の拡張や、文中に列挙された他製品ラインは今回の発見の対象外。
時間帯と通告が記す挙動
Cursor は市場上の窓を 2026 年 10 月 29 日おおよそ 2:27am–1:35pm PT としている。通告によれば、改変拡張は次を試みた：
- ホスト／ユーザー情報の収集と送信（ホスト名、ユーザー名、OS、アーキテクチャ、home パス、環境変数の名前、作業ディレクトリ、設定済み Git email、パブリック IP）。
authorized_keysへ攻撃者の SSH 公開鍵を追加（ラベルsvc-telemetry）、ローカル SSH の有効化、逆方向 SSH トンネルの確立。- macOS では LaunchAgent、Windows ではスケジュールタスク／Startup スクリプト経路での永続化；バックグラウンドがおよそ 60 秒ごとにトンネルを再試行。
Cursor通告が述べる影響範囲
Cursor は攻撃者サーバーがオフラインになったとし（クラウド事業者と協力）。通告が述べる逆シェルやホスト詳細 POST は利用不可；他バージョンや公式配布への影響を示す証拠はないとも書いている。
ローカル SSH の有効化には管理者権限が必要。多くの macOS／Windows ホストでは悪意ある拡張にその権限がなく、当該ステップは失敗しトンネル経由のログインは成立しない。それでも公開鍵の書き込み、永続化の導入、ホスト情報の送信は起き得たため、窓内のホストは通告どおりの確認が必要。拡張のアンインストールだけでは足りない場合がある（ペイロードが独立した永続化スクリプトを残し得る）。
Cursor の対応
Cursor は検知後ただちに市場から除去し配布を遮断、慎重のためマーケット全体を一時停止；監査で他拡張の改しんは確認されなかったとし、鍵をローテーションしてマーケットを再構築し復帰させた。IOC（VSIX ハッシュ、ペイロード指標、ネットワーク端点、永続化パス）と修復スクリプト（remediate-macos.sh、remediate-windows.ps1）は通告にある。Cursor は 2026 年 10 月 30 日 11:30am PT に IOC を更新。連絡先：security@cursor.com。
当該市場から上記窓で 2.1.312／2.1.313 を入れたホストは、Cursor の手順に従い、公開チェック／修復スクリプトの実行、IOC（svc-telemetry 鍵コメントを含む）の捜索、隔離、未承認鍵／永続化／トンネルの除去、信頼できる端末からの資格情報ローテーションを行う。完全なハッシュとパスは通告を正とし、IOC 全表はここでは展開しない。
npm チャネルではない
本件は Cursor VS Code Extension Marketplace の配布面の問題であり、npm @anthropic-ai/claude-code と同一チャネルではない。短報 Claude Code 2.1.312：OIDC user_id_claim と大ファイル安全書き込みを追加 は 正規 npm の機能リリースであり、今回の悪意あるマーケットビルドと混同してはならない。
詳細は Cursor 通告に従ってください。参考情報。
関連：Aokigahara 情報窃取マルウェアが Claude／Codex／Cursor／Copilot の認証情報を狙う；OpenCode、Console のセキュリティインシデントでユーザーの約 1.4% に影響と発表。