CursorでClaude Code拡張が改ざん、約11時間配布 SSHバックドアは削除後も残る恐れ

AIコードエディターCursorの拡張機能マーケットプレイスで、Claude Codeを名乗る改ざん版が約11時間配布された。対象は2.1.312と2.1.313のmacOS・Windows向けパッケージ。攻撃コードはSSH鍵の追加や接続の常駐化を試みており、拡張機能を削除するだけでは痕跡が残り得る。CursorとMicrosoftの一次情報から、影響範囲と確認・復旧の要点を整理する。

30秒でわかる / THE SIGNAL

配布されたのはCursor側のマーケットプレイスに置かれた改ざん版

Cursorは2026年10月29日、同社のVS Code拡張機能マーケットプレイスで、AnthropicのClaude Code拡張機能を装った改ざんパッケージが配信されたと公表した。対象は `anthropic.claude-code` の2.1.312および2.1.313で、Cursorの最新の告知ではmacOSとWindows向けの改ざんパッケージを特定している。配布期間は米太平洋夏時間（PDT）10月29日2時27分ごろから13時35分ごろ。日本時間では10月29日18時27分ごろから30日5時35分ごろに当たり、約11時間8分だ。Cursorは同月30日に告知を更新して対象バージョンを明確化した。重要なのは、Claude Codeの開発元Anthropicがこの悪意ある拡張機能を制作したわけではない点だ。Microsoftの脅威調査は、Microsoft Visual Studio MarketplaceやClaude Codeのnpm公式配布経路で同じ改ざんパッケージは配信されなかったと確認している。現時点の根拠から、配布経路はCursorのマーケットプレイスに限定される。

見た目は通常の拡張機能、裏ではSSHによる持続的なアクセスを試行

Microsoftが改ざんされた `extension.js` を解析したところ、通常の拡張機能コードが動く前に実行されるJavaScriptが挿入されていた。コードはホスト名、ユーザー名、OS、作業ディレクトリ、Gitのメールアドレスなどを収集し、環境変数については `KEY` や `TOKEN` を含む変数の「名前」を抽出する。Microsoftが確認したこの収集処理は、環境変数の値そのものの流出を立証したものではない。さらに、攻撃者が管理する公開鍵をSSHの `authorized_keys` に追記し、外部サーバーへリバースSSHトンネルを張る処理を試みる。通信は外向きのSSH接続を使い、ローカルのSSHポート22へのアクセス経路を作ろうとする設計だった。拡張機能自体は通常どおり動作し続けるため、利用者が異変に気付きにくい。

「全利用者にバックドアが成立した」とは断定できない

悪意あるコードが存在したことと、攻撃者が全端末に実際にログインできたことは別問題だ。Cursorは、macOS・Windowsの多くの端末ではローカルSSHサービスを有効化する管理者権限がなく、コード側の不具合もあって攻撃者によるSSHアクセスは成立しなかったと説明している。また、Cursorは攻撃者のサーバーをホスティング事業者と協力して停止したと発表した。一方、接続が成立しなくても、不正なSSH鍵や再起動後の起動スクリプトが書き込まれた可能性は残る。Microsoftも、SSHトンネルが失敗した場合でも端末上の設置物が残り得ると警告している。個々の端末における侵害範囲は、導入履歴と実際のファイル・プロセス・通信の証拠から判断する必要がある。

アンインストールだけでは不十分。まず端末の痕跡を調べる

最初に確認すべきなのは、問題の配布時間帯にCursorのマーケットプレイス経由で該当拡張機能をインストール、または自動更新したかどうかだ。Cursorは、攻撃者のSSH公開鍵に付けられたコメント `svc-telemetry` を重要な調査指標としている。macOSでは `~/.ssh/authorized_keys`、Windowsではユーザーの `.ssh\authorized_keys` や管理者用のSSH鍵設定を点検する。macOSでは `~/Library/LaunchAgents/com.apple.sysmond.plist`、Windowsでは `SysMon` というタスクやスタートアップ登録も確認対象になる。ただし、これらの名称が存在するだけで侵害確定とはならず、実行内容や鍵のフィンガープリントとの照合が必要だ。CursorはOS別の公式チェック・修復スクリプトを案内している。証拠を保全したうえで不正な鍵、永続化設定、関連プロセスを取り除き、必要なら端末の再構築や認証情報・セッションの更新を行う。

開発部門が検証すべきは「更新経路」も含む端末の信頼性

この事件が示すのは、AIが生成するコードの安全性だけでは、AI開発環境全体の安全を守れないということだ。開発用拡張機能は、ローカル端末のファイルや開発ツール、認証情報に近い環境で動く。正規の製品名に見える拡張機能でも、配布マーケットプレイスの管理が破られれば、利用者は改ざん版を取り込む恐れがある。企業では、導入を許可する拡張機能の一覧、配布元の制限、自動更新の管理、端末監視、SSH鍵と秘密情報の管理を一体で点検したい。Cursorは改ざん版の削除、マーケットプレイスの一時停止、鍵のローテーションと再構築を実施したと報告しているが、利用者側で端末の痕跡を消す作業とは別である。今回の焦点は「Claude Codeそのものが侵害された」という誤解ではなく、信頼した拡張機能の配布経路が攻撃面になり得ることにある。