Cursor 配布の Claude Code 拡張改ざん｜影響確認と復旧手順

はじめに

2026 年 10 月 29 日（米国太平洋時間）、Cursor は自社の VS Code 拡張機能マーケットプレイス（Cursor VS Code Extension Marketplace）で、改ざんされた Anthropic.claude-code 拡張機能が配布されていたと公表しました。改ざん版は、開発端末に攻撃者の SSH 公開鍵を追加し、外部サーバーへのリバース SSH トンネルと永続化を試みるコードを含んでいます。

対象は特定の配布元・バージョン・OS・時間帯に限られますが、拡張機能の自動更新で対象版を導入した可能性がある端末では、利用者が気付かないまま痕跡が残っている可能性があります。本記事では、企業の開発者とセキュリティ運用担当者が「自分の端末は対象か」「どの痕跡を調べるか」「何をもって対応完了とするか」を判断できるよう、一次情報を整理します。

本記事の情報は 2026 年 10 月 31 日 07:30（JST）時点で、Cursor の公式告知（2026 年 10 月 30 日 11:30 PT 更新版）、Phorion の技術分析、Sophos X-Ops の推奨事項を確認した内容です。筆者による実機検証は行っていません。

結論として、対象は Cursor VS Code Extension Marketplace から 2026 年 10 月 29 日 18:27〜10 月 30 日 05:35（JST）に導入・更新された、Windows / macOS 向けの Anthropic.claude-code 2.1.312 / 2.1.313 です。Anthropic の公式配布や Cursor 全体が侵害されたという発表ではありません。

該当する可能性がある端末では、現在のバージョンが更新済みでも安全とは判断せず、SSH 鍵・永続化・通信の痕跡を確認してください。拡張機能の削除や更新だけでは、端末に書き込まれた不正な設定は残る可能性があります。

Cursor の Claude Code 拡張で何が起きたのか

Cursor は VS Code 互換の拡張機能を独自のマーケットプレイスで提供しています。今回、そのマーケットプレイス上で正規の拡張機能 ID Anthropic.claude-code を名乗る改ざん版が約 11 時間配布されました。

インシデントの時系列

Sophos と Phorion の記事は Cursor の告知更新前に公開されたため、対象バージョンを 2.1.313 のみとしています。影響範囲の判断には、更新後の Cursor 告知を優先してください。

Cursor の対応と確認済み・未確定の事項

Cursor は、改ざん版を検知後に削除して配布を止め、マーケットプレイスを停止したうえでアクセス監査、鍵のローテーション、再構築を行い、サービスを再開したと説明しています。攻撃者のサーバーはホスティング事業者と連携して停止済みです。また The Register によると、Anthropic の技術スタッフは X で、Anthropic のシステムや従業員端末の侵害ではないとの見解を示しています。

本件は、2026 年 10 月 31 日時点の Cursor 告知に CVE 番号の記載はなく、ソフトウェアの脆弱性ではなく拡張機能の配布インシデントとして扱うのが適切です。配布経路が侵害されたサプライチェーン攻撃の事例としては、『Trivy 侵害から始まったサプライチェーン攻撃』も参考になります。

影響を受ける端末と拡張機能の確認

影響の有無は、配布元・バージョン・OS・導入時刻の 4 条件で判断します。どれか 1 つでも確認できない場合は、該当の可能性ありとして痕跡調査に進みます。

影響条件

攻撃コードには Linux 向けの処理も含まれ、Cursor の IOC にも Linux のファイルパスが記載されています。ただし、Cursor が特定した悪性パッケージは Windows（win32-x64）と macOS（darwin-arm64）向けで、Linux 向けの悪性 VSIX が配布されたとは公表されていません。コード上に処理が存在することと、実際に配布されたことは区別して扱います。

そのうえで、Cursor の Remote 機能などで Linux サーバー上にも拡張機能を導入する構成では、予防的な確認として Linux 向けの IOC も点検することをおすすめします。これは公式に確認された影響範囲ではなく、構成に応じた編集部の提案です。

なお、2.1.312 という番号は Cursor 以外の配布元にも存在すると報告されています。Cursor の告知は Cursor のマーケットプレイスから配布されたパッケージを対象としており、バージョン番号だけで他の配布元の同名拡張機能を悪性と判断しないことが重要です。判断にはハッシュ値や改ざん文字列を使用します。

影響判定フロー

現在のバージョンだけで安全と判断できない理由

改ざんコードは導入直後に一度実行されれば、SSH 鍵の追加や永続化スクリプトの設置を終えます。その後 2.1.314 へ更新されても、拡張機能のフォルダーが置き換わるだけで、~/.ssh/authorized_keys や LaunchAgent、スケジュールタスクに書き込まれた設定は残ります。Cursor も、拡張機能のアンインストールだけでは不十分な場合があると明記しています。

参考: Cursor
“Uninstalling the extension may not be sufficient”
（拡張機能のアンインストールだけでは不十分な可能性があります）
https://cursor.com/blog/claude-code-extension-security-notice

また、拡張機能の導入元を履歴から特定できない場合も、安全と判断する根拠にはなりません。導入元が不明な端末は、該当の可能性ありとして IOC 調査の対象に含めてください。

改ざんコードの動作と SSH バックドアの成立条件

改ざんコードの影響は、SSH 鍵の追加、SSH サービスの有効化、トンネルの確立、実際の不正ログインという別々の段階に分けて評価する必要があります。鍵が追加されていても、それだけで不正ログインが成立したとは限りません。

extension.js から始まる実行経路

Phorion の分析によると、改ざんコードは extension.js の先頭に即時実行関数として追加されており、Node.js がファイルを読み込んだ時点で、拡張機能の通常の activate 処理より先に実行されます。利用者が拡張機能を操作しなくても、Cursor が拡張機能を読み込むだけで処理が始まる点に注意が必要です。

調査では、2 種類の鍵を区別して扱います。

svc-telemetry（攻撃者の公開鍵）

端末の authorized_keys に追加される鍵です。攻撃者が端末へログインするために使われます。

svc-telemetry-tun（トンネル用の秘密鍵）

端末が攻撃者サーバーへ接続するために、一時ディレクトリの .stk_ で始まるファイルや永続化用ファイルへ書き出される鍵です。

SSH サービスの有効化が失敗する理由

Cursor は、ローカルの SSH サービスを有効にするには管理者権限が必要で、多くの macOS / Windows 端末ではこの段階が失敗し、トンネル経由のログインはできなかったと説明しています。Phorion は、コード上の不具合として次の点を指摘しています。

• macOS: 権限なしで systemsetup -getremotelogin を実行すると管理者権限のエラーが返り、出力に Off が含まれないため、有効化処理（sudo -n systemsetup -setremotelogin on）自体が実行されない
• Windows: OpenSSH Server の設定コマンドを、/bin/sh を前提とした関数経由で実行しており、標準的な Windows では動作しない
• Linux: systemctl などで sshd の起動を試みるが、権限昇格の処理は含まれない

ただし、これは防御策として期待できるものではありません。もともと Remote Login や OpenSSH Server が有効だった端末、Cursor を管理者権限で起動していた端末、後から SSH を有効にした端末では、不正ログインの経路が成立し得ます。Cursor も、SSH の成否にかかわらず修復手順を実施するよう求めています。

送信されたホスト情報と認証情報のリスク

Cursor によると、送信される情報はホスト名、ユーザー名、OS、アーキテクチャ、ホームディレクトリのパス、環境変数名、作業ディレクトリ、Git に設定されたメールアドレス、パブリック IP です。Phorion の分析では、環境変数は KEY|TOKEN|SECRET|PASS|AWS|GCP に一致する名前を最大 40 件収集する実装で、値は送信されません。

したがって、ビーコンによって API キーなどの値が直接流出したとは言えません。一方で、Cursor は限定的な収集であっても、バックドア経由の後続アクセスによる認証情報の取得を否定できないとしています。環境変数名の一覧は、攻撃者がどの端末にどの種類の認証情報があるかを把握する材料になり得るため、SSH の有効化状況やログイン痕跡とあわせてローテーションの要否を判断します。

IOC と端末・EDR での調査方法

ここでは Cursor の公式 IOC を調査しやすい形に整理します。IOC は更新される可能性があるため、調査開始時に Cursor の告知の最新版と照合してください。

パッケージとペイロードの IOC

VSIX のハッシュはパッケージファイル全体の値で、プロキシのキャッシュやソフトウェア配布基盤に残る VSIX ファイルとの照合に使います。インストール済みの拡張機能フォルダーは展開後の状態のため、こちらは extension.js 単体のハッシュと改ざん文字列で照合します。

改ざんされた extension.js には、文字列 134.209.82.225 と svc-telemetry が含まれます。ハッシュが一致しない場合でも、両方の文字列が含まれるファイルは調査対象とします。

SSH とネットワークの IOC

ifconfig.me と api.ipify.org はパブリック IP の確認に使われますが、正規のサービスです。Cursor も、これらへのアクセスだけでは IOC にならないとしています。

OS 別のファイル・永続化 IOC

Windows の administrators_authorized_keys は、Cursor の確認コマンドが検索対象に含めているファイルです。管理者グループのアカウントで SSH 公開鍵認証を行う場合に参照されるため、あわせて確認します。

macOS での確認方法

以下は読み取りのみのコマンドです。Cursor 公式の確認コマンド以外は IOC 照合用の標準コマンドの例で、筆者は実機で動作を検証していません（Windows も同様）。証拠保全の観点から、削除や停止は後述の初動対応の順序に従ってください。まず、Cursor 公式の確認コマンドで不正鍵の有無を確認します（影響を受けたユーザーで実行）。

grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted"

コメント以外でも照合できるよう、authorized_keys に登録された鍵のフィンガープリントを一覧表示し、SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk が含まれないか確認します（OpenSSH の ssh-keygen -l を使用）。

ssh-keygen -lf ~/.ssh/authorized_keys

永続化ファイルとトンネル用鍵の有無、LaunchAgent の登録状況を確認します。

ls -la ~/Library/LaunchAgents/com.apple.sysmond.plist ~/.config/.smt ~/.config/.smtk "$TMPDIR"/.stk_* 2>/dev/null
launchctl list | grep com.apple.sysmond

トンネルの再試行ループや SSH プロセスが動作していないか確認します。

ps -axww -o pid,ppid,user,command | grep -E '134\.209\.82\.225|\.stk_|\.smt|autossh' | grep -v grep

拡張機能フォルダーが残っている場合は、extension.js の SHA-256 を計算し、公式の値と照合します。あわせて、Cursor が示す 2 つの文字列が両方含まれるかを確認します。シェルのワイルドカードと shasum、grep だけを使う例で、パスは Cursor の拡張機能ディレクトリが ~/.cursor/extensions、extension.js が拡張機能フォルダーの直下にある場合を想定しています。

for f in ~/.cursor/extensions/anthropic.claude-code-*/extension.js; do
  [ -f "$f" ] || continue
  shasum -a 256 "$f"
  grep -qF '134.209.82.225' "$f" && grep -qF 'svc-telemetry' "$f" && echo "Both IOC strings found: $f"
done

何も出力されない場合は、拡張機能フォルダーが削除済みか、extension.js の配置が想定と異なる可能性があります。フォルダーの有無を ls ~/.cursor/extensions で確認し、その結果だけで安全と判断しないでください。

Remote Login が有効になっていないかも確認します。Phorion が指摘するとおり、systemsetup -getremotelogin は管理者権限がないと状態を取得できないため、sudo systemsetup -getremotelogin として管理者権限で実行します。

Windows での確認方法

Cursor 公式の確認コマンドを PowerShell で実行します。C:\ProgramData\ssh\administrators_authorized_keys は通常 Administrators と SYSTEM のみに読み取り権限があるため、確認漏れを防ぐには管理者として起動した PowerShell で実行することをおすすめします。

$files = "$HOME\.ssh\authorized_keys", "C:\ProgramData\ssh\administrators_authorized_keys" | Where-Object { Test-Path $_ }
if ($files -and (Select-String svc-telemetry $files)) { "svc-telemetry key found" } else { "No key found; machine not impacted" }

OpenSSH クライアントが導入されている端末では、macOS と同様に ssh-keygen -lf "$HOME\.ssh\authorized_keys" でフィンガープリントを確認できます。続いて、スケジュールタスクと永続化ファイル、トンネル用鍵を確認します。

schtasks /query /tn SysMon /v /fo LIST
Test-Path "$env:USERPROFILE\.config\smt.cmd", "$env:USERPROFILE\.config\smtk", "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup\sysmon.cmd"
Get-ChildItem $env:TEMP -Filter '.stk_*' -Force

攻撃者サーバーとの現在の TCP 接続を確認します。サーバーは停止済みのため、接続が見つからないことは過去の通信がなかったことを意味しません。過去の通信はプロキシやファイアウォールのログで確認します。

Get-NetTCPConnection -RemoteAddress 134.209.82.225 -ErrorAction SilentlyContinue

拡張機能フォルダーが残っている場合は、extension.js の SHA-256 を Get-FileHash で計算し、公式のハッシュ値と照合します。パスは Cursor の拡張機能ディレクトリが %USERPROFILE%\.cursor\extensions の場合の例です。

Get-ChildItem "$env:USERPROFILE\.cursor\extensions" -Directory -Filter 'anthropic.claude-code-*' | ForEach-Object { Get-ChildItem $_.FullName -Recurse -Filter extension.js -File | Get-FileHash -Algorithm SHA256 }

OpenSSH Server（サービス名 sshd）が意図せず導入・起動されていないかは、Get-Service sshd で確認できます。

Cursor の確認コマンドは、鍵が見つからない場合に「machine not impacted」と表示します。ただし、利用者や別のツールが鍵を削除した可能性や、永続化だけが残っている可能性もあるため、この表示だけで端末全体の安全性を判断せず、永続化・プロセス・通信ログもあわせて確認してください。

SOC での横断調査

組織全体では、端末単体の確認に加えて、次の観点でログを横断検索します。特定の EDR 製品に依存する機能ではなく、多くの EDR や SIEM で利用できる一般的なテレメトリーを前提としています。

Phorion は、攻撃コードが Node.js の API で authorized_keys へ直接追記するため、echo や tee などのシェルコマンドを監視するルールでは検出できないと指摘しています。ファイル変更のテレメトリーで、IDE のプロセスが SSH 関連ファイルを変更した記録を確認するのが有効です。

また、不正ログインの有無は「トンネルが張られたか」と分けて確認する必要があります。トンネル経由のログインは端末から見るとローカルホストからの接続になるため、SSH のログでは localhost からのログインとして記録されます。macOS では統合ログの sshd の記録、Windows ではイベントログの OpenSSH の記録を確認します。

SSH のログには公開鍵のコメント文字列（svc-telemetry）が記録されるとは限りません。localhost からの認証成功、ログ設定によって記録される鍵のフィンガープリント、トンネルプロセスや攻撃者サーバーとの接続履歴を組み合わせて判断します。ログの保存期間切れや設定によって記録が残っていない場合もあるため、ログがないことを不正ログインがなかった証拠として扱わないでください。

参考: Phorion
“successful logins in SSH logs will appear to come from localhost”
（SSH ログ上の成功したログインは、localhost からの接続として記録されます）
https://phorion.io/blog/offical-claude-code-vsx-compromise/

感染兆候が見つかった場合の初動対応と復旧

Cursor は、IOC の横断検索、痕跡がある端末の隔離、不正な鍵・永続化・トンネルプロセスの除去と再構築の判断、信頼できる端末からの認証情報とセッションのローテーションを求めています。Sophos X-Ops も、アンインストールだけではバックドアが残るとして、鍵・永続化・プロセスの除去と認証情報のローテーションを推奨しています。これらを、証拠保全を含む実務の順序に整理すると次のとおりです。

公式修復スクリプトの実行条件と注意点

Cursor によると、修復スクリプトは悪意ある拡張機能、永続化の仕組み、実行中のトンネルプロセス、攻撃者の SSH 鍵を削除し、何かが残った場合は 0 以外の終了ステータスを返します。macOS と Windows では実行する権限が逆になる点に注意してください。

スクリプトは端末上の既知の痕跡を除去するものであり、実行だけでは、不正ログインの有無の調査や認証情報の失効は完了しません。Windows では -ExecutionPolicy Bypass で実行するため、取得元が Cursor の公式 URL であることと内容を確認してから実行してください。

対応完了と判断する基準

次の項目がすべて確認できた時点を、対応完了の目安とすることをおすすめします。

• 不正鍵（コメントとフィンガープリントの両方）、永続化ファイル、タスク・LaunchAgent、トンネル用鍵、トンネルプロセスが残っていない
• 修復スクリプトを使用した場合、終了ステータスが 0 である
• Claude Code 拡張機能が 2.1.314 以降に更新されている、または削除されている
• Remote Login / OpenSSH Server の状態が、組織の想定どおりである
• SSH ログ、プロセス履歴、接続履歴を照合し、localhost からの不正な認証成功の有無と、ログの欠落期間を記録している
• プロキシ・ファイアウォールのログで、攻撃者サーバーとの通信の有無と期間を確認している
• 影響端末で利用できた認証情報とセッションの失効・再発行が完了している

開発端末の認証情報を対象としたサプライチェーン攻撃では、端末の修復より認証情報の棚卸しに時間がかかる傾向があります。認証情報の扱いと痕跡調査の進め方は、LiteLLM 1.107.0 のマルウェア混入の記事でも解説しています。

まとめ

今回のインシデントは、Cursor の拡張機能マーケットプレイスで特定の時間帯に配布された Claude Code 拡張機能の改ざん版によるものです。SSH の有効化は多くの端末で失敗していますが、不正鍵と永続化は残るため、バージョン確認だけで終わらせず、痕跡調査と認証情報の対応まで進める必要があります。

• 対象は Cursor 配布の 2.1.312 / 2.1.313（Windows / macOS）
• 導入時間帯は 10 月 29 日 18:27〜10 月 30 日 05:35（JST）
• 更新済みでも、過去に改ざん版が実行された可能性は残ります。
• 鍵の追加と不正ログインの成立は、別の段階として評価します。
• 不正鍵はコメントとフィンガープリントの両方で確認します。
• 修復スクリプトの実行前に、調査に必要な証拠を保全します。
• 認証情報の失効は、信頼できる別の端末から実施します。

以上、最後までお読みいただきありがとうございました。