Un incident de sécurité lié à Cursor et à Claude Code expose 5 000 utilisateurs. En cause ? Une version piégée de l’extension Claude Code ayant permis de pousser la clé SSH d’un attaquant sur les machines infectées. Voici ce que l’on sait.
Le 29 octobre 2026, Cursor a publié un bulletin de sécurité consacré à une version modifiée de l’extension Claude Code d’Anthropic, mise à disposition dans la marketplace d’extensions de son éditeur de code. Cette version 2.1.313 a été distribuée le 29 octobre, entre 10 h 27 et 21 h 35 environ (heure de Paris). Dans les résultats de l’enquête, au maximum 5 000 utilisateurs sont concernés.
Cursor a retiré la version et a coupé temporairement l’accès à sa marketplace le temps d’effectuer une rotation de certaines clés. Que contenait cette version malveillante de l’extension Claude Code ? Regardons ça de plus près. Tout d’abord, il faut savoir que le code malveillant se limite à 66 lignes placées en tête du fichier extension.js, exécutées dès que l’éditeur charge l’extension. Inutile de lancer une conversation avec Claude, donc.
Une clé SSH, un tunnel inversé et de la persistance
D’après les analyses effectuées par plusieurs chercheurs, dont OpenSourceMalware, le code malveillant enchaîne plusieurs étapes :
Reconnaissance : nom d’hôte, utilisateur, système, e-mail Git, et les noms (pas les valeurs) des variables d’environnement contenant KEY, TOKEN, SECRET, PASS, AWS ou GCP.
Clé de l’attaquant : une clé Ed25519 commentée svc-telemetry est ajoutée au fichier ~/.ssh/authorized_keys.
Tunnel SSH inversé : connexion en boucle à 134.209.82.225, avec un port relayé vers le port 22 de la victime.
Persistance : un LaunchAgent nommé com.apple.sysmond sur macOS, une entrée @reboot dans la crontab sur Linux, une tâche planifiée SysMon sur Windows.
Balise : les données collectées partent en HTTP non chiffré vers le port 8099 du même serveur.
Ce tunnel aboutit au port 22 de la machine : sans serveur SSH à l’écoute, il ne mène nulle part. Cependant, l’activation du service exige des droits d’administrateur que l’extension n’a généralement pas, souligne Cursor, et Phorion a relevé un bug qui fait échouer cette étape sur macOS. Là où ça pique, c’est sur un poste où SSH tourne déjà (une machine Linux, un Mac avec la Session à distance activée), car la clé ajoutée suffit à ouvrir la porte.
Anthropic piraté ? Les versions divergent
“Cette version malveillante de l’extension n’a pas été développée par Anthropic.”, affirme Cursor. Une formulation que conteste le chercheur Kevin Beaumont sur son blog DoublePulsar : selon lui, la version a été mise en ligne avec le compte vérifié d’Anthropic, ce qui relève bien d’un incident de sécurité côté Anthropic. Il reproche aussi à Anthropic d’avoir publié la 2.1.314 sans prévenir ses clients.
Le chemin emprunté reste flou. La version 2.1.313 a disparu d’Open VSX, de la Marketplace de Microsoft et de Cursor. Sur Open VSX, l’historique passe de la 2.1.312 à la 2.1.314, publiée le 30 octobre à 2 h 07. OpenSourceMalware dit avoir récupéré l’échantillon sur Open VSX, alors que Cursor ne parle que de sa propre place de marché. À l’heure où j’écris ces lignes, Anthropic n’a pas communiqué à propos de cet incident, mais il y a un certain flou.
Quoi qu’il en soit, la fenêtre d’exposition a duré environ 11 heures… Ce qui n’est pas anodin. Tous ceux qui ont récupéré la version piégée pendant ce laps de temps sont potentiellement impactés.
Si vous utilisez Claude Code dans Cursor, sachez que désinstaller ou mettre à jour l’extension ne suffit pas : les scripts de persistance fonctionnent de manière autonome. Une fois que le mal est fait, il y a d’autres points à vérifier :
Clé SSH de l’attaquant : le commentaire svc-telemetry dans ~/.ssh/authorized_keys, et sous Windows dans C:\ProgramData\ssh\administrators_authorized_keys, c’est un signe.
Fichiers en charge de faire tourner le tunnel SSH : ~/.config/.smt et ~/.config/.smtk (macOS, Linux), smt.cmd et smtk dans le dossier .config du profil (Windows).
Persistance de l’attaquant sur votre machine : ~/Library/LaunchAgents/com.apple.sysmond.plist, une entrée @reboot dans la crontab, la tâche planifiée SysMon ou un fichier sysmon.cmd dans le dossier Démarrage.
Connexion réseau liée au tunnel SSH : des processus ssh ou autossh contenant -R *:0:localhost:22, et toute connexion vers 134.209.82.225 sur les ports 22 et 8099 (à bloquer).
Pour vous aider, Cursor fournit des scripts de nettoyage pour macOS et Windows, et Kevin Beaumont a publié des requêtes KQL pour Microsoft Defender for Endpoint.
Reste une question en suspens : comment cette version a-t-elle pu être publiée sous l’identité de l’extension officielle ?
Cofondateur d’IT-Connect et Microsoft MVP “Cloud and Datacenter Management”. Mon obsession depuis près de 15 ans ? Rendre l’administration système et la cybersécurité accessibles, que vous soyez junior ou confirmé. Plus qu’un métier, l’IT est pour moi une véritable passion. J’accompagne au quotidien les sysadmins et les professionnels de l’IT dans leur montée en compétences et leur veille technique.