Cursor retiró dos versiones manipuladas de la extensión Claude Code, la herramienta de programación con IA de Anthropic, tras detectar que intentaban abrir una puerta trasera por SSH. Según NeoTeo, las versiones 2.1.312 y 2.1.313 estuvieron disponibles el 29 de octubre de 2026 para Windows y macOS. WWWhat's new habla de hasta 5.000 usuarios y unas 11 horas de exposición.
Las claves
- Cursor identificó las versiones 2.1.312 y 2.1.313; NeoTeo precisa que estuvieron disponibles el 29 de octubre de 2026 aproximadamente entre las 2:27 y las 13:35, hora del Pacífico.
- La cifra de hasta 5.000 es una estimación de posibles destinatarios, no de equipos infectados, según NeoTeo; WWWhat's new la presenta como usuarios alcanzados.
- El payload intentaba añadir la clave svc-telemetry a las claves autorizadas SSH, habilitar SSH y abrir un túnel inverso, según Phorion.
- También buscaba persistencia tras reinicios y enviar datos del equipo, como usuario, sistema operativo e IP pública.
¿Qué hacía la extensión Claude Code manipulada?
El análisis de Phorion, citado por NeoTeo y WWWhat's new, describe código que se ejecutaba al cargar el módulo de la extensión, sin que el usuario tuviera que iniciar una conversación con Claude. El payload intentaba instalar una clave SSH identificada como svc-telemetry, habilitar SSH y abrir un túnel inverso. También buscaba dejar mecanismos de persistencia para ejecutarse después de reiniciar el equipo.
El código intentaba enviar información del equipo: nombre del host y del usuario, sistema operativo, arquitectura, ruta del directorio personal, directorios de trabajo, correo de Git configurado e IP pública. Phorion señala que recopilaba hasta 40 nombres de variables de entorno que coincidieran con términos como KEY, TOKEN, SECRET, PASS, AWS o GCP, pero no sus valores. Cursor advirtió que, si el acceso por SSH funcionaba, podía existir una vía posterior para acceder a credenciales del equipo.
Cursor indicó que la activación de SSH fallaría en la mayoría de los equipos Windows y macOS por errores en el código y porque requería permisos de administrador. Aun así, la clave, los scripts de persistencia y los datos del equipo podían quedar instalados o enviarse. WWWhat's new añade que Phorion detectó un fallo en el propio código malicioso que, en macOS, rompe la parte del ataque que abriría el acceso entrante si el equipo no tenía ya activado el acceso remoto.
¿Qué deben revisar los usuarios de Claude Code?
Cursor recomienda comprobar si aparece svc-telemetry en los archivos authorized_keys, incluido el archivo de claves de administradores en Windows. También indica revisar los registros de seguridad del endpoint, la red y la instalación de extensiones. La clave es un indicador concreto, pero Cursor recomienda una revisión más amplia.
Si hay indicios, Cursor indica aislar el equipo, retirar las claves no autorizadas y los mecanismos de persistencia, e investigar los procesos de túnel que sigan activos. Después, conviene rotar desde un sistema de confianza las credenciales y sesiones a las que el equipo pudiera haber accedido. Cursor ofrece scripts de comprobación y remediación separados para Windows y macOS, y advierte que desinstalar la extensión puede dejar scripts de persistencia.
WWWhat's new agrega que Cursor recomienda ejecutar su script de limpieza, revocar las credenciales accesibles y valorar si conviene reinstalar el sistema, porque desinstalar la extensión no elimina los scripts persistentes.
¿Qué dicen Cursor y Anthropic?
Cursor retiró las versiones, bloqueó su distribución, cerró el marketplace como medida preventiva y después lo reconstruyó y restableció, según NeoTeo. La empresa también dijo que el servidor del atacante había quedado fuera de servicio. WWWhat's new precisa que Cursor cerró temporalmente su tienda para revisar el resto de extensiones y rotó sus claves.
Anthropic subraya que sus sistemas no fueron comprometidos y que el código manipulado no lo desarrolló la empresa, de acuerdo con WWWhat's new. Según The Next Web, Felix Rieseberg, de su equipo técnico, afirmó que no hubo compromiso de los sistemas de Anthropic ni de los portátiles de sus empleados, que un actor malicioso usó el acceso a la tienda de Cursor para publicar la copia trucada y que los canales oficiales de Anthropic no están afectados.
WWWhat's new sostiene que el episodio no es un fallo de Claude Code, sino del canal de distribución: la tienda de un editor de terceros. Las extensiones del editor se actualizan de forma automática por defecto, lo que ayuda a explicar ese alcance.
¿Qué falta por confirmar?
La pregunta central sigue sin respuesta: cómo consiguió el atacante el acceso a la tienda de Cursor. Ni Cursor ni Anthropic lo han explicado todavía, según WWWhat's new. Tampoco hay un recuento de equipos infectados: la cifra de hasta 5.000 es una estimación de posibles destinatarios, aclara NeoTeo.
Cursor y Phorion señalan que la clave svc-telemetry, los scripts de persistencia y los datos del equipo podían quedar instalados o enviarse aunque el acceso SSH fallara. Revisar authorized_keys y rotar o revocar credenciales es la recomendación que aparece en ambos medios.
