• CursorのマーケットプレイスでClaude Code拡張機能の改ざん版（2.1.312と2.1.313）が約11時間配布された
  • 改ざん版は攻撃者のSSH鍵を登録し、外部から入れる裏口（バックドア）を作ろうとした
  • 拡張機能を消しても、裏口の仕組みが残る場合がある
  • 自分が影響を受けたかは、1行のコマンドで確かめられる
  • 日本の開発者が今日からできる、拡張機能の安全対策がわかる

いつも使っているAIコーディングツールの拡張機能に、知らないうちに裏口が仕込まれていたらどうしますか。2026年10月29日、そんな事件が実際に起きました。この記事では、何が起きたのか、自分は大丈夫か、何をすればよいかをやさしく整理します。

Cursorで配布されたClaude Code拡張機能が改ざんされた

Cursor（AI搭載のコードエディタ）は公式のセキュリティ告知で、Anthropic製のClaude Code拡張機能を改ざんした不正版が、自社の拡張機能マーケットプレイスで公開されていたと発表しました。

不正版が公開されていたのは、日本時間で10月29日18時27分から10月30日5時35分までのおよそ11時間です。

対象はAnthropic.claude-codeのバージョン2.1.312と2.1.313です。この間にインストールまたは更新した環境が影響を受けます。

セキュリティ企業のPhorionが詳しい分析を10月30日に公開し、問題が広く知られるようになりました。日本でもGIGAZINEが11月2日に取り上げています。

なお、Cursorによると、この不正版はAnthropicが作ったものではありません。Hacker NewsでAnthropic関係者も、Anthropicのシステムや従業員のPCが侵害されたわけではなく、公式の配布経路のClaude Codeは影響を受けていないと説明したと伝えられています。

改ざん版は何をしたのか

拡張機能を読み込んだ瞬間に動く

悪意あるコードは、拡張機能の本体であるextension.jsの冒頭に足されていました。エディタが拡張機能を読み込むと、ふだんの動作より先に実行されます。ユーザーがボタンを押す必要はありません。

4つの動き

Phorionの分析によると、不正なコードは順に次のことを試みました。

  • 攻撃者のSSH公開鍵を、PCの「authorized_keys」（SSHでログインを許す鍵の一覧）に追加する
  • PCのSSH機能を有効にしようとする
  • 攻撃者のサーバー（134.209.82.225）へ向けて「リバースSSHトンネル」（PCから外へ穴を開け、外からPCに入れる通路）をつくる
  • 再起動しても動き続けるよう、自動起動の設定を作る

自動起動には、macOSではLaunchAgent、Linuxではcron、Windowsではタスクスケジューラが使われました。トンネルが切れても、60秒ごとに再接続を試みます。

PCの情報も送られた

さらに、PC名、ユーザー名、OSの種類、公開IPアドレス、Gitに設定したメールアドレスが攻撃者側に送られました。

加えて、鍵やトークンなどに見える環境変数（設定値を入れておく名前付きの箱）の名前が最大40個送られました。値そのものを送る処理は確認されていない、とPhorionは述べています。

自分は影響を受けたか確かめる手順

不正版は、鍵のコメント欄に「svc-telemetry」という名前を付けていました。つまり、この文字列がauthorized_keysに残っているかを調べれば、被害の有無がわかります。

Cursorが案内している確認コマンドは次のとおりです。macOSでは次の1行を実行します。

grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted"

Windowsでは、PowerShellで次のコマンドを実行します。

$files = "$HOME\.ssh\authorized_keys", "C:\ProgramData\ssh\administrators_authorized_keys" | Where-Object { Test-Path $_ }
if ($files -and (Select-String svc-telemetry $files)) { "svc-telemetry key found" } else { "No key found; machine not impacted" }

鍵が見つかったら、侵害されたものとして扱ってください。Cursorは、ネットワークから切り離して調べたうえで、修復用スクリプト（macOS用のremediate-macos.shとWindows用のremediate-windows.ps1）を使うよう案内しています。

見落としやすい点があります。拡張機能をアンインストールするだけでは不十分です。不正版が置いた単独のスクリプトが、削除後も動き続けるおそれがあるためです。

Cursorは、ホストの再構築も検討するよう勧めています。そのPCから見えていた認証情報やセッションは、信頼できる別の環境から入れ替えてください。

被害はどのくらい広がるのか

影響の大きさについては、見方に幅があります。

Help Net Securityによると、Cursorは影響を受けたユーザーは最大でも5,000人だと説明しています。

Cursorは、多くのmacOS・Windows環境では管理者権限が足りず、SSHサービスの有効化は失敗すると述べています。Phorionも、macOSでは確認処理の不具合のため、一般ユーザーのままではリモートログインが有効にならないと分析しています。

ただし、安心はできません。鍵の追加、自動起動の設定、PC情報の送信は実行されるからです。Phorionは、すでにリモートログインが有効なPCや、あとから有効にしたPCでは、裏口がそのまま使えると警告しています。

ある会社員が、毎朝Cursorを開いて仕事を始めるところを考えてみましょう。拡張機能が自動更新されたその日に、本人が何も気づかないまま、会社のリポジトリに入れるPCの鍵が登録されるかもしれません。

攻撃者のサーバーはすでに止まっていますが、鍵と自動起動の設定が残っていれば、別のサーバーから再び使われる余地があります。だから確認が欠かせません。

配布元をめぐる食い違いと、同じような事件との比較

どのマーケットプレイスが原因かについては、報道で食い違いがありました。Phorionの最初の報告はOpen VSX（オープンソースの拡張機能配布サイト）としていました。

その後、Phorionは配布元をCursorのマーケットプレイスに訂正しました。Help Net Securityも、この点が記事内で十分に整理されていないと指摘しています。

混乱を避けるには、元の情報にあたる習慣が大事です。Cursor、Phorion、Anthropicの説明を並べて読むと、状況がつかみやすくなります。

VS Code系エディタの拡張機能が狙われるのは、今回が初めてではありません。GlassWormというマルウェアは、Open VSXで拡張機能の依存関係を悪用し、2026年1月31日以降に72件の悪意ある拡張機能が見つかりました。Claude Codeなど、AI支援ツールを装うものもあります。

手口には違いがあります。GlassWormは偽の拡張機能を紛れ込ませます。今回は、公式の名前を持つ拡張機能そのものが差し替えられました。名前を見て確かめるだけでは防ぎにくい点が、今回のやっかいなところです。

日本の開発者・企業への影響

日本でも、CursorやClaude Codeを業務で使う開発者は増えています。今回の不正版は日本時間の夜から早朝に配布されていたため、日本の利用者も対象になりえました。

特にフリーランスや小さな開発チームでは、会社のPCに入れる拡張機能を、個人が自由に選んでいることが少なくありません。誰がどのバージョンを入れたかを、管理者が把握できていないこともあるでしょう。

情報システム担当者は、まず次の3点を確認してみてください。

  • 2.1.312または2.1.313を、10月29日から30日にかけて入れた人がいないか
  • authorized_keysにsvc-telemetryが残っていないか
  • 拡張機能の許可リストを、組織として持っているか

GlassWormの解説では、依存関係を確認することや、組織単位で拡張機能の許可リストを管理することが現実的な対策とされています。

今日からできる予防策

今回のような事件は、ゼロにはできません。それでも、被害を小さくする工夫はできます。

まず、拡張機能の自動更新に任せきりにせず、更新日と更新内容を確かめる習慣をつけましょう。

次に、SSHの設定を見直してください。使っていないPCでリモートログインを有効にしないだけで、今回のような裏口は働きにくくなります。

Phorionは、IDEの補助プロセスがauthorized_keysに書き込む動きを監視するよう勧めています。ふだんと違う動きに気づけるからです。

最後に、パスワードやAPIキーをPCの環境変数に置きっぱなしにしないことも大事です。今回も、キーやトークンらしい環境変数の名前が収集されていました。

よくある質問（FAQ）

Q. AnthropicのClaude Code本体も危険ですか？

A. Anthropicの関係者は、Anthropicのシステムは侵害されておらず、公式の配布経路のClaude Codeは影響を受けていないと説明したと伝えられています。問題になったのは、Cursorのマーケットプレイスで配布された改ざん版です。

Q. 影響を受けるのはどのOSですか？

A. Cursorは、macOSとWindowsを対象としています。Phorionの分析では、Linuxも対象に含まれ、cronで自動起動を設定する処理がありました。Linuxを使っている場合も確認しておくと安心です。

Q. 拡張機能を削除すれば安全ですか？

A. 安全とは言えません。削除しても、不正版が置いた鍵や自動起動の設定が残る場合があります。確認コマンドを実行し、見つかったら修復用スクリプトで取り除いてください。

Q. 更新すれば元に戻りますか？

A. Cursorは問題の2バージョンを削除しました。ただし、更新しても残った鍵や自動起動の設定は消えません。過去に2.1.312か2.1.313を入れた人は、必ず確認コマンドを実行してください。

Q. パスワードなどは盗まれましたか？

A. Phorionは、環境変数の名前を送る処理は確認したものの、値そのものを送る処理は確認されなかったと述べています。ただし、裏口が使われた場合は、PC内の情報が見られる可能性があります。念のため入れ替えを検討してください。

まとめ

  • 2026年10月29日から30日にかけて、Cursorのマーケットプレイスで改ざんされたClaude Code拡張機能（2.1.312と2.1.313）が約11時間配布された
  • 攻撃者のSSH鍵の登録、リバースSSHトンネル、自動起動の設定、PC情報の送信が試みられた
  • 確認の目印は、authorized_keysの「svc-telemetry」という鍵
  • アンインストールだけでは足りず、修復用スクリプトの実行や、認証情報の入れ替えが必要
  • 拡張機能の許可リストや、SSH設定の見直しが、今後の備えになる

まずは自分のPCで確認コマンドを1行実行し、結果を同じチームの人にも共有してみてください。

参考文献