Una extensión maliciosa de la herramienta de programación Cursor, llamada Claude Code, fue distribuida durante más de once horas el 29 de octubre de 2026. La versión afectada, 2.1.313, intentaba instalar una puerta trasera SSH en los dispositivos de los usuarios que la descargaran. Cursor informó que el máximo número de afectados es de 5.000 personas.
¿Qué hizo el código malicioso?
- La extensión añadía una clave SSH del atacante para abrir un túnel hacia un servidor externo.
- El código no descargaba otros programas, solo pedía la IP pública de los usuarios y mantenía abierto el túnel.
- El acceso requería permisos de administrador, que la mayoría de los sistemas no tenía.
El ataque se detectó y Cursor retiró la extensión del marketplace. Luego revisó todos los accesos, rotó las claves y reconstruyó el mercado de extensiones. También apagó el servidor del atacante para evitar que los datos se enviaran.
¿Quién está afectado?
- Los usuarios de Cursor que descargaron la extensión entre las 2:27 y las 13:35 hora del Pacífico (09:27-20:35 UTC).
- Los usuarios de VS Code que usaron la extensión desde la terminal no están afectados.
- Cursor no confirmó si otras extensiones del marketplace fueron manipuladas.
¿Cómo saber si te ha afectado?
Para verificar, se puede revisar el archivo authorized_keys en la carpeta de la extensión. También se pueden usar comandos de terminal o PowerShell para buscar procesos SSH o claves específicas.
¿Qué se sabe y qué falta confirmar?
Se ha identificado que el paquete malicioso no fue desarrollado por Anthropic, pero su origen aún no está claro. Cursor precisó que la extensión no afectó otras herramientas ni productos relacionados. Aunque la situación parece menos grave de lo que parece, se recomienda eliminar la versión 2.1.313 y actualizar a la 2.1.314.
