CursorのClaude Code拡張に裏口、確認と対処【2026年10月】

2026年10月29日、AI コードエディター「Cursor」は公式ブログで、Cursor の拡張機能マーケットプレイスで、Anthropic の「Claude Code」拡張の改ざん版が配布されていたと告知しました。対象は 2.1.312 と 2.1.313（Windows・macOS）で、公開されていたのは約11時間です。

Security notice — malicious version of Anthropic.claude-code (2.1.312 and 2.1.313) identified in the Cursor VS Code Extension Marketplace · Cursor

改ざん版は、攻撃者の SSH 鍵を勝手に登録し、外から端末に入れる裏口（バックドア）を作ろうとするものでした。Cursor によると、改ざん版は Anthropic が開発したものではありません。拡張を消すだけでは残るファイルがあるため、対象の人は確認と後片付けが必要です。AI コーディングツールの「入手元」そのものが狙われた、という意味で重い出来事と言えます。

何が起きた？一言でまとめると

一言でいうと、Cursor のマーケットプレイスに「本物の Claude Code 拡張と同じ名前の新バージョン」として、裏口を作るコードが入った版が並んでいたという問題です。

改ざんを分析したのは、セキュリティ企業 Phorion の Calum Hall 氏、マルウェア調査サイト OpenSourceMalware、そして Microsoft Security Research です。いずれも、拡張の本体ファイル（extension.js）の先頭にコードが足されていたと説明しています。

どうやって攻撃者が Anthropic 名義の拡張を Cursor のマーケットプレイスに載せられたのかは、2026年11月2日時点の Cursor の告知には書かれていません。OpenSourceMalware も、Cursor は侵害を認めたものの経緯は説明していないとしています。

対象になる人・ならない人

Cursor の告知によると、確認が必要なのは次の条件にあてはまる人です。

• Cursor のマーケットプレイスから
• macOS か Windows で
• 2026年10月29日 2:27〜13:35（米太平洋時間）に
• Claude Code 拡張の 2.1.312 か 2.1.313 を入れた・更新した

一方、VS Code の公式マーケットプレイス（Visual Studio Marketplace）や npm からは配布されていません。Microsoft Security Research は、改ざん版が Visual Studio Marketplace で公開・配布されたことはなく、npm の @anthropic-ai/claude-code でも配布されていない、と明言しています。

また Microsoft によると、Anthropic は自社のシステムは侵害されておらず、改ざん版も開発していないと説明しています。Cursor も、他の拡張機能や、Claude Code の公式の配布物が影響を受けた証拠はないとしています。

つまり、VS Code で Claude Code を使っている人や、ターミナルで Claude Code（CLI）を使っている人は、今回の対象ではありません。気にすべきは Cursor で Claude Code 拡張を使っていて、10月29日に自動更新された可能性がある人です。

改ざん版がしようとしたこと

改ざん版は、拡張が読み込まれた瞬間に、利用者が何も操作しなくても動く作りでした（Phorion）。OpenSourceMalware によると、エラーをほぼすべて握りつぶすため、Claude Code 拡張そのものは普段どおりに動いて見えたとのことです。

① 端末の情報を攻撃者に送る

Cursor の告知では、ホスト名・ユーザー名・OS・ホームディレクトリ・作業中のフォルダ・Git に設定したメールアドレス・グローバル IP などを送るとされています。

環境変数については、Phorion の分析で KEY・TOKEN・SECRET・PASS・AWS・GCP を含む「名前」を最大40個送るとされています。値（API キーそのもの）は送らない作りです。

② 攻撃者の SSH 鍵を登録する

利用者のホームにある ~/.ssh/authorized_keys に、「svc-telemetry」という名前の攻撃者の公開鍵を書き足します。これが入ると、SSH でつながれば攻撃者がパスワードなしでログインできる状態になります。あわせて、端末の SSH サーバーを有効にしようとします。

③ 外向きの「リバース SSH トンネル」を張る

端末から攻撃者のサーバーへ SSH でつなぎ、そのトンネルを通って攻撃者が端末の SSH に入れるようにします。社内ネットワークの内側の端末でも、外向きの通信さえ通れば入れてしまう手口です。

④ 再起動しても動き続けるように仕込む

macOS では LaunchAgent（com.apple.sysmond）、Windows では 「SysMon」という名前のスケジュールタスク（失敗するとスタートアップに sysmon.cmd）を作ります。約60秒ごとにトンネルを張り直すスクリプトが、拡張とは別に動き続けます。名前は、正規の監視ツールに似せてあります（Microsoft）。

多くの環境で侵入は失敗、それでも対処が必要な理由

Cursor によると、SSH サーバーを有効にするには管理者権限が必要で、改ざん版は多くの macOS・Windows でその権限を持っていません。そのため多くの端末ではこの段階で失敗し、攻撃者はトンネル経由でログインできなかったとされています。

Phorion の Calum Hall 氏は、コードの誤りも見つけています。

• macOS：リモートログインの状態を調べる処理が管理者権限なしでは正しく判定できず、有効化を試みないまま終わる
• Windows：OpenSSH の設定コマンドが /bin/sh を前提にしていて、標準の Windows では動かない
• Linux：繰り返し動くと、既存の cron の設定が消えるおそれがある

それでも、Cursor は「対処は必ず行ってください」としています。トンネルが失敗しても、攻撃者の鍵の追加・自動起動の仕込み・端末の情報の送信は行われたからです。Phorion の分析でも、macOS のコードの誤りで入り口が塞がるのはもともと SSH（リモートログイン）を有効にしていない Mac とされています。

なお、攻撃者のサーバーは Cursor がホスティング事業者と協力して停止済みで、トンネルや情報の送信は現在は機能しないとされています。

自分が影響を受けたか確かめる方法

Cursor は、svc-telemetry の鍵が登録されているかで判断する方法を示しています。鍵が見つかれば影響あり、見つからなければ影響なし、という判断です。

macOS（ターミナルで実行）

grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted"

Windows（PowerShell で実行）

$files = "$HOME\.ssh\authorized_keys", "C:\ProgramData\ssh\administrators_authorized_keys" | Where-Object { Test-Path $_ }
if ($files -and (Select-String svc-telemetry $files)) { "svc-telemetry key found" } else { "No key found; machine not impacted" }

Phorion は、名前（コメント）は書き換えられることもあるため、鍵の指紋（フィンガープリント）SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk でも確かめることを勧めています。

ほかにも、次のファイルが残っていないかが目安になります（Cursor の告知の IOC より）。

見つかったときの対処と、入れ替えるもの

鍵が見つかった場合、Cursor は次の手順を示しています。

1. 端末をネットワークから切り離す（裏口が仕込まれた形跡がある端末）
2. Cursor の修復スクリプトを実行する：macOS は remediate-macos.sh を影響を受けたユーザーで（root ではなく）、Windows は remediate-windows.ps1 を管理者の PowerShell で実行。拡張・自動起動の仕込み・トンネルのプロセス・攻撃者の鍵を消し、残りがあればエラーで知らせる
3. 端末を作り直すかを検討する
4. 認証情報とセッションを入れ替える：その端末から使えた認証情報を、信頼できる別の端末から入れ替える

ポイントは、拡張をアンインストールするだけでは足りないことです。Cursor・Phorion・Microsoft のいずれも、自動起動のスクリプトは拡張とは別の場所に置かれ、拡張を消しても残ると指摘しています。

認証情報の入れ替えについて、Cursor は「送られたのは環境変数の名前だけでも、裏口から後で認証情報にアクセスされた可能性は否定できない」と説明しています。Phorion は特に、名前が送られた環境変数（API キー・トークン・クラウドの認証情報など）を優先するよう勧めています。

会社の端末なら、OpenSourceMalware と Microsoft は消す前に証拠（拡張のファイル・書き換えられた SSH の設定・スクリプト）を保全することを勧めています。OpenSourceMalware は「既知のファイルを消せば元どおりと考えるより、端末を作り直すほうが安全」としています。

SSH の鍵や authorized_keys の考え方は、VPS のセキュリティ設定の記事でも解説しています。

あわせて読みたい

さくらのVPSのセキュリティ初期設定：最初にやる5つの対策【2026年版】

Cursorの対応と時系列

Cursor は、改ざん版を見つけてすぐに削除し、マーケットプレイス全体をいったん止めて作り直しています。

Cursor が挙げている対応は次の4つです。

• 改ざん版を削除し、配布を止めた。念のためマーケットプレイス全体を停止
• アクセスを監査し、他の拡張が改ざんされていないことを確認
• 鍵をローテーションし、マーケットプレイスを作り直して再開
• ホスティング事業者と協力して攻撃者のサーバーを停止

OpenSourceMalware は、当初はオープンソースの拡張レジストリ「Open VSX」の問題として報告していましたが、Cursor から連絡を受けてCursor のマーケットプレイスの問題と訂正しています。Phorion も公開後に、対象のマーケットプレイスを Cursor と明記する訂正をしています。

正規の Claude Code の入れ方

Claude Code の公式ドキュメントでは、VS Code 用の拡張機能の ID は anthropic.claude-code です。Anthropic が拡張を提出しているのは Visual Studio Marketplace と Open VSX Registry とされています。

同じドキュメントには、拡張機能のマーケットプレイスは第三者のソフトウェアで、Anthropic は保証・保守・監査していないと書かれています。Cursor 向けのインストールリンクも載っていますが、その場合はCursor のマーケットプレイス経由になる点は意識しておきたいところです。

公式ドキュメントのネイティブインストールのコマンドは次のとおりです。

macOS・Linux・WSL

curl -fsSL https://claude.ai/install.sh | bash

Windows PowerShell

irm https://claude.ai/install.ps1 | iex

拡張が入れられないエディターでは、CLI を入れて、エディター内のターミナルで claude を実行する方法も案内されています。CLI のリリースには Anthropic の GPG 鍵で署名された manifest.json があり、macOS・Windows のバイナリにはコード署名が付いています。

なお、拡張のバージョン番号は、同梱している Claude Code のバージョンと同じです。今回の 2.1.312 / 2.1.313 という番号は、本物の更新に見せかけるのに使われた形です。

Claude Code の最近の機能は、こちらの記事でも紹介しています。

あわせて読みたい

Claude Code Review正式版の料金と変更点【2026年10月】

開発者の反応

Phorion のアドバイザリを紹介した Hacker News のスレッドには、1004ポイント・553件のコメント（2026年11月2日時点）が付きました（出典）。

まず多かったのは、どこまでが対象なのかという確認です。ユーザーの helsinkiandrew 氏は、「Anthropic がハッキングされた」という見出しは言い過ぎで、Cursor のマーケットプレイスに改ざん版が出た話だと Cursor の告知を引いて指摘しています（出典）。

自動更新のタイミングに注目する声もありました。misnome 氏は、自分の環境では新しいバージョンが公開から12時間たたないと自動更新の対象にならないという表示が出ていて、それで更新されずに済んだのかもしれないと書いています（出典）。

ソフトウェアを公開する側の不安もあります。stbenjam 氏は、サプライチェーン攻撃への防御の多くは自動ではなく、正しく設定するのが難しいとし、業界としてもっと良くしていく必要があると述べています（出典）。

IT Picks的な所感

今回いちばん重いのは、偽物の拡張ではなく「いつもの拡張の新しいバージョン」として届いた点だと思います。名前も発行元も見慣れたものなので、利用者が見分けるのはほぼ不可能です。拡張の自動更新は便利な一方で、配布元が破られるとそのまま入ってくる——その弱さがはっきり出た出来事です。

一方で、Cursor が約11時間で配布を止め、マーケットプレイスごと作り直し、確認コマンドと修復スクリプトまで公開した対応は早かったと言えます。研究者や Microsoft の分析もすぐに出そろい、コードの誤りで多くの端末では侵入が失敗していたことも分かりました。

ただ、どうやって Anthropic 名義の拡張を載せられたのかは、11月2日時点の Cursor の告知では分かりません。Cursor で Claude Code を使っている人にとっては一番知りたい点なので、続報を待ちたいところです。それまでは、Microsoft が勧めるように新しいバージョンをすぐ入れない待ち期間を設けるなど、拡張の更新の仕方を見直す良い機会だと思います。

Claude はプランの見直しも続いており、Claude Code を仕事で使う人が増えるほど、こうした配布経路の安全性も大事になってきます。

あわせて読みたい

ClaudeのMax 20xが「Ultra」に、5時間制限なし【2026年11月】

まとめ

Cursor で配布された Claude Code 拡張の改ざん版のポイントをまとめます。

• 告知：2026年10月29日（Cursor 公式ブログ。10月30日に更新）
• 対象：Anthropic.claude-code 2.1.312 / 2.1.313（Windows・macOS 用）
• 入手元：Cursor のマーケットプレイスだけ（VS Code の公式マーケットプレイス・npm は対象外）
• 期間：日本時間 10月29日18:27ごろ〜30日5:35ごろ
• 中身：端末の情報の送信、SSH 鍵（svc-telemetry）の追加、リバース SSH トンネル、自動起動の仕込み
• 作った人：Anthropic ではない（Cursor の告知）
• 現在：配布は停止、マーケットプレイスは作り直して再開、攻撃者のサーバーは停止
• 確認方法：authorized_keys に svc-telemetry の鍵があるか
• 対処：修復スクリプトの実行、端末の作り直しの検討、別の端末から認証情報を入れ替え

Cursor で Claude Code 拡張を使っている人は、まず上の確認コマンドを1回実行して、svc-telemetry の鍵が無いことを確かめておくのがおすすめです。

IT Picks 編集部

ITツール・Webサービス紹介メディア

IT Picks 編集部。VPS・クラウド・AIツール・SaaSを中心に、実際に検証した情報を届けるITメディアです。「本当に使えるか」を基準に、初心者からエンジニアまで役立つ記事を制作しています。