Claude-Code-Erweiterung in Cursor mit Backdoor

Im Marketplace des Editors Cursor lag am 29.10.2026 eine manipulierte Fassung der Claude-Code-Erweiterung. Version 2.1.313 von Anthropic.claude-code war laut Cursor von etwa 10:27 bis 21:35 Uhr deutscher Zeit abrufbar und versuchte, auf dem Rechner eine dauerhafte SSH-Hintertür einzurichten. Betroffen sind laut Cursor höchstens 5.000 Nutzer, die das Unternehmen direkt anschreiben will. Entdeckt hat den Fall die Sicherheitsfirma Phorion, die die Schadfunktion auf Endgeräten bemerkt hat.

Wer betroffen ist

Betroffen ist, wer die Claude-Code-Erweiterung in Cursor nutzt und sie in diesem Zeitfenster installiert oder aktualisiert hat. Laut dem Sicherheitsforscher Kevin Beaumont hat sich die Erweiterung in Cursor automatisch aktualisiert, das kann also ohne eigenes Zutun passiert sein. Manipulierte Pakete nennt Cursor für macOS auf Apple Silicon und für Windows auf x64.

Nach allem, was bisher bekannt ist, nicht betroffen sind die Claude-Code-CLI aus npm und die Erweiterung aus dem Microsoft Visual Studio Marketplace oder aus Open VSX. Cursor schreibt, es gebe keine Hinweise darauf, dass andere Versionen oder die offizielle Distribution betroffen sind, und Anthropic sagt dasselbe. In allen drei Kanälen fehlt die Version 2.1.313 heute, auf 2.1.312 folgt direkt 2.1.314. Anthropic hat 2.1.314 in der Nacht auf den 30.10. veröffentlicht.

Was die Schadsoftware macht

Der Schadcode steckt am Anfang der Datei extension.js und läuft, sobald der Editor die Erweiterung lädt. Ein Klick ist nicht nötig. Laut Cursor und Phorion passiert dann Folgendes:

Er trägt einen SSH-Schlüssel des Angreifers mit dem Kommentar svc-telemetry in ~/.ssh/authorized_keys ein.
Er versucht, den lokalen SSH-Dienst einzuschalten, und baut einen Reverse-Tunnel zu einem Server des Angreifers auf. Über diesen Tunnel hätte sich der Angreifer auf euren Rechner einloggen können.
Er richtet sich dauerhaft ein: unter macOS als LaunchAgent, der sich als com.apple.sysmond tarnt, unter Windows als geplante Aufgabe SysMon oder Skript im Autostart. Alle 60 Sekunden versucht er erneut, den Tunnel aufzubauen, auch wenn der Editor geschlossen ist.
Er schickt Hostname, Benutzername, Betriebssystem, Arbeitsverzeichnisse, die globale Git-Mailadresse, die öffentliche IP und die Namen von Umgebungsvariablen an den Angreifer. Gesucht werden Namen mit KEY, TOKEN, SECRET, PASS, AWS oder GCP, die Werte selbst nicht.

Zwei Dinge bremsen den Angriff. Den SSH-Dienst einzuschalten, braucht unter macOS und Windows Administratorrechte, die die Erweiterung normalerweise nicht hat. Unter macOS kommt ein Fehler im Schadcode dazu, den Phorion beschreibt: Er erkennt nicht einmal, dass SSH aus ist. Wer SSH nicht selbst aktiviert hatte, war also nicht über den Tunnel erreichbar. Außerdem hat Cursor den Server des Angreifers mit dem Hoster vom Netz genommen. Der Schlüssel, die Persistenz und die gesendeten Hostdaten bleiben aber auf dem Rechner beziehungsweise beim Angreifer. Und wer SSH später einschaltet, öffnet ihm die Tür.

So prüft ihr euren Rechner

Cursor nennt einen einfachen Test. Unter macOS:

grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry gefunden" || echo "Kein Treffer"

Den Befehl für Windows und die vollständige Liste der Indikatoren findet ihr im Hinweis von Cursor. Wer es gründlicher will, sucht zusätzlich nach ~/.config/.smt, ~/.config/.smtk und ~/Library/LaunchAgents/com.apple.sysmond.plist und nach Verbindungen zur IP-Adresse 134.209.82.225.

Was ihr bei einem Treffer tun solltet

Den Rechner vom Netz nehmen, wenn ihr euch nicht sicher seid, was in der Zwischenzeit passiert ist.
Die Aufräumskripte von Cursor für macOS oder Windows ausführen, sie stehen im Hinweis. Sie entfernen Erweiterung, Persistenz, laufende Tunnel und den fremden Schlüssel. Cursor rät außerdem zu prüfen, ob der Rechner neu aufgesetzt werden sollte.
Zugangsdaten und Sitzungen, die auf dem Rechner lagen, von einem sauberen Gerät aus erneuern. Das betrifft vor allem die Variablen, deren Namen der Angreifer jetzt kennt.
In Unternehmen die Flotte nach den Indikatoren durchsuchen. Kevin Beaumont hat dafür Abfragen für Microsoft Defender veröffentlicht.

Offen: Wie kam die Version in den Marketplace?

Das ist bisher ungeklärt, und die Beteiligten erzählen es unterschiedlich. Cursor schreibt, die manipulierte Version sei "not developed by Anthropic". Das Unternehmen hat nach eigenen Angaben den kompletten Marketplace abgeschaltet, Zugriffe geprüft, die eigenen Schlüssel rotiert und den Marketplace neu aufgebaut. Andere Erweiterungen seien nicht manipuliert worden.

Der Sicherheitsforscher Kevin Beaumont hält das für Wortklauberei. Laut seinem Blogbeitrag wurde die Version unter dem verifizierten Konto von Anthropic hochgeladen. Er sprach zunächst von einem Angriff auf Anthropic und kritisierte, dass das Unternehmen seine Kunden nicht informiert und die Version stillschweigend entfernt habe.

Inzwischen hat Anthropic widersprochen. Felix Rieseberg aus dem technischen Team schrieb laut The Register auf X, es habe keinen Einbruch in Systeme oder Laptops von Anthropic gegeben. Ein Angreifer habe Zugang zum Marketplace von Cursor genutzt, um eine manipulierte Kopie zu veröffentlichen, die Anthropic weder gebaut noch veröffentlicht habe. Die offiziellen Kanäle seien nicht betroffen, nur Nutzer von Cursor. Wie genau der Angreifer an diesen Zugang kam, haben bisher weder Cursor noch Anthropic erklärt. Ein Security Advisory im Claude-Code-Repository auf GitHub gibt es nicht.

Einordnung

Erweiterungen laufen mit allen Rechten des Editors und damit mit euren. Wer eine verbreitete Erweiterung unter fremdem Namen ausliefern kann, sitzt mit einem Update auf Tausenden Entwicklerrechnern, und das automatische Update sorgt dafür, dass niemand etwas bemerkt. Der Fall zeigt auch, wie lange die Folgen bleiben: Die schadhafte Version war elf Stunden online, die Hintertür bleibt, bis jemand sie aktiv entfernt.

Wer im Team Cursor mit der Claude-Code-Erweiterung einsetzt, sollte den Test oben heute auf allen Rechnern laufen lassen. Für die Zukunft lohnt es sich zu überlegen, ob automatische Updates für Erweiterungen auf Arbeitsrechnern wirklich an sein müssen.