Une extension Claude Code piégée a exposé des développeurs via Cursor

Une version malveillante de l’extension Anthropic.claude-code a été diffusée dans la marketplace de Cursor le 29 octobre 2026, entre 2 h 27 et 13 h 35 PT, avant d’être retirée. Cursor dit que les builds 2.1.312 et 2.1.313 pour macOS et Windows ont été touchés, sans signe d’impact sur les autres extensions du catalogue. L’affaire compte car elle combine supply chain, poste de travail développeur et persistance SSH, avec un risque concret pour les machines où un serveur SSH était déjà actif.

Un faux Claude Code, mais un vrai problème de chaîne de confiance

Cursor explique que la version piégée n’a pas été développée par Anthropic. Le code malveillant s’est greffé au début du fichier extension.js, laissant le reste de l’extension légitime intact. Résultat : au chargement, l’extension exécutait une charge utile discrète, sans action de l’utilisateur sur Claude Code lui-même. C’est le genre de détail qui transforme un simple plugin en porte d’entrée très peu polie.

Selon Cursor, l’extension collectait le nom d’hôte, le nom d’utilisateur, l’architecture, le système d’exploitation, le chemin du dossier personnel, les noms de variables d’environnement, les répertoires de travail, l’adresse e-mail Git configurée et l’IP publique. Elle tentait aussi d’ajouter une clé SSH contrôlée par l’attaquant, d’activer l’accès SSH local et d’ouvrir un tunnel SSH inverse vers 134.209.82.225. Sur macOS, la persistance passait par un LaunchAgent ; sur Windows, par une tâche planifiée et un script de démarrage.

Pourquoi tous les postes n’étaient pas forcément ouverts

Les analystes cités dans les sources convergent sur un point : le malware pouvait installer sa clé et sa persistance, mais il ne parvenait pas toujours à obtenir un accès distant complet. Sur macOS, l’activation de Remote Login exige des droits admin. Sur Windows, le code essayait de lancer OpenSSH d’une manière bancale, via une commande qui ne correspond pas à une installation standard. Dans ces cas-là, le tunnel existait parfois, mais il n’avait rien à atteindre derrière la porte.

Pour autant, il ne faut pas minimiser le reste. Même sans session interactive, l’extension a pu envoyer des données de reconnaissance au serveur attaquant, puis installer des mécanismes de retour en arrière pour persister après redémarrage. Les sources insistent aussi sur un point plus large : les serveurs Linux ou les environnements de développement distants avec sshd actif sont plus exposés que des portables sans service SSH. Là, le tunnel a un vrai interlocuteur.

Ce que Cursor recommande de vérifier tout de suite

Cursor demande aux utilisateurs ayant installé ou mis à jour Anthropic.claude-code 2.1.312 ou 2.1.313 depuis sa marketplace pendant la fenêtre indiquée de vérifier la présence de la clé SSH marquée svc-telemetry. L’éditeur fournit des commandes distinctes pour macOS et Windows, ainsi que des scripts de remédiation pour supprimer l’extension malveillante, les mécanismes de persistance et la clé pirate. Les machines montrant des traces d’exécution doivent être isolées, puis évaluées pour un éventuel re-build.

• 2 versions — 2.1.312 et 2.1.313, signalées par Cursor.
• 11 heures environ — fenêtre de diffusion, de 2 h 27 à 13 h 35 PT.
• 1 serveur — 134.209.82.225, point de rebond du tunnel et du beacon.
• 1 clé SSH — commentaire svc-telemetry, à rechercher dans authorized_keys.
• 5 000 utilisateurs au plus — estimation avancée par Cursor et reprise par les sources.

Cursor dit avoir retiré la version compromise, audité d’autres extensions, roté ses clés et relancé sa marketplace après coup. Le serveur de l’attaquant a aussi été mis hors ligne avec l’aide de l’hébergeur. Reste une question qui plane au-dessus de l’incident : comment un package sous nom Anthropic a pu passer la porte d’une marketplace utilisée par des développeurs pressés. Un classique de sécurité, version plugin. Et, comme souvent, le clic trop rapide fait gagner deux minutes et perdre une soirée.

Ce que cela change pour les équipes qui utilisent des assistants de code

L’incident rappelle qu’une extension d’IA n’est pas seulement un confort de productivité. C’est aussi du code exécuté localement, avec accès potentiel au système, aux secrets d’environnement et aux identifiants de travail. Dans ce contexte, les équipes qui s’appuient sur Cursor, VS Code ou des marketplaces tierces ont intérêt à traiter leurs extensions comme des composants critiques, avec revue, inventaire et surveillance. Les sources citent aussi les environnements Remote-SSH, où l’extension peut être installée sur la machine distante elle-même, pas seulement sur le poste du développeur.

En clair, l’incident ne se limite pas à “désinstaller un plugin”. Il touche aux droits locaux, à la gestion des clés, aux logs SSH et à la gouvernance des outils de développement. C’est moins spectaculaire qu’une fuite géante, mais souvent plus concret pour les équipes qui doivent remettre des postes en état et vérifier qu’aucun accès ne traîne encore.