Cursorの「Claude Code」拡張に偽物、入れるだけでパソコンに“裏口”。10月29日に更新した人の確かめ方

AIと一緒にプログラムを書けるエディタ「Cursor」で、改ざんされた「Claude Code」の拡張機能が配られていたことがわかりました。入れて読み込むだけで、攻撃者がパソコンに入るための“裏口”を作ろうとするものです。

配られていたのは10月29日の約11時間だけで、Cursorはすでに配布を止めています。ただ、拡張機能を消したり更新したりしても、仕込まれたものは残るとされています。この時間にCursorを使っていた人は、一度確かめておきましょう。

この記事では、Cursor・調査会社・Anthropicの発表をもとに、対象になる人と確かめ方、これからの備えをまとめます。

何が起きたのか

Cursorの公式の通知によると、Cursorの拡張機能ストアで、Anthropicの「Claude Code」の拡張機能に手を加えた偽物が配られていました。

Cursorは、問題に気づいてすぐにこの版を取り下げ、念のためストア全体を止めて、ほかの拡張機能に改ざんがないかを調べました。そのうえで鍵を入れ替えてストアを作り直し、攻撃者のサーバーも、サーバーの事業者と協力して止めています。

Anthropicは「作っていない」

Cursorの説明では、この偽物はAnthropicの手によるものではありません。AnthropicのFelix Rieseberg氏もXで、Anthropicのシステムや社員のパソコンが侵害されたのではなく、公式の配布元にある版は影響を受けていないと述べています。影響はCursorの利用者に限られるという立場です。

一方で、だれが、どうやってCursorのストアに改ざん版を置けたのかは、まだ明らかになっていません。最初は別の拡張機能ストア「Open VSX」で見つかったという報告もありましたが、調査会社はその後、配布元をCursorのストアに訂正しています。

入れると何をされるのか

調査会社Phorionの報告とCursorの通知によると、改ざん版は、拡張機能が読み込まれた時点で動き出します。Claudeに何かを頼む必要はありません。

• パソコンの名前、ユーザー名、OS、Gitに登録したメールアドレス、インターネット上の住所（IPアドレス）などを攻撃者に送る
• パスワードや鍵が入っていそうな環境変数の「名前」を送る（中身は送らないとされる）
• 攻撃者の鍵をSSHの「入ってよい鍵の一覧」に書き足し、外から入れるトンネルを作ろうとする
• パソコンを立ち上げるたびに動く仕掛けを残し、約1分ごとにつなぎ直そうとする

つまり、パスワードを盗むというより、あとから入り込むための入口を作ろうとするものです。

Cursorによると、管理者の権限がない多くのパソコンでは、SSHを有効にする処理が失敗するため、実際に攻撃者が入れた可能性は低いとされています。ただ、鍵の書き足しや、立ち上げのたびに動く仕掛け、情報の送信は起きた可能性があるので、確かめておく必要があります。

自分が対象か確かめる

1. 対象の時間にCursorでClaude Code拡張を使っていたか

日本時間の10月29日夕方から30日の早朝に、CursorでClaude Code拡張を入れた、または自動で更新された可能性がある人が対象です。拡張機能の一覧で、今のバージョンも確かめておきましょう。2.1.314以降になっていれば、改ざん版は取り除かれています（ただし、仕掛けが残っているかは別に確かめます）。

次のどれかに当てはまる人は、対象外とされています。

• VS Codeの公式ストアから入れたClaude Code拡張を使っている
• ターミナルで動かすClaude Code（npmで入れるもの）だけを使っている
• Cursorを使っていても、Claude Code拡張は入れていない

2. 鍵の一覧に「svc-telemetry」がないか見る

攻撃者の鍵には「svc-telemetry」という名前が付いています。Cursorは、これを探す方法を案内しています。

Macの場合は「ターミナル」で次のコマンドを入れます。何も表示されなければ、この鍵は書き足されていません。

grep svc-telemetry ~/.ssh/authorized_keys

Windowsの場合は、PowerShellで次のコマンドを入れます。こちらも、何も表示されなければ見つかっていません。

Select-String -Path "$env:USERPROFILE\.ssh\authorized_keys","$env:ProgramData\ssh\administrators_authorized_keys" -Pattern svc-telemetry

「ファイルが見つからない」と出る場合は、SSHの鍵の一覧がそもそも作られていないということなので、この鍵も書き足されていません。

3. 見つかったら

1. Wi-Fiを切る・ケーブルを抜くなどして、ネットにつながらない状態にする
2. Cursorの通知にある片付け用のスクリプトで、鍵や仕掛けを取り除く（Macはそのユーザーで、Windowsは管理者のPowerShellで実行）
3. 別の安全なパソコンから、パスワードやトークン（サービスの合鍵）を変える：GitHub、クラウド、APIの鍵など、そのパソコンから使えたもの
4. 心配なら、パソコンを作り直す

わからないことは、Cursorの通知にある窓口（security@cursor.com）に問い合わせられます。会社のパソコンなら、自分で片付ける前に、まず会社のセキュリティ担当に知らせてください。

拡張機能は「自分と同じ力」を持つ

今回の件で気をつけたいのは、公式のストアの、本物と同じ名前の拡張機能が、自動更新で入ってきたことです。発行元を確かめる、ダウンロード数を見る、といった普段の見分け方は、ほとんど役に立ちませんでした。

拡張機能は、エディタの中で動く小さなプログラムですが、自分のパソコンで、自分と同じ権限で動きます。ファイルを読む、ネットにつなぐ、ほかのプログラムを起動する、といったことができてしまいます。

これは、WordPressで起きたUpdraftPlusの開発元への不正アクセスや、Rank Math PROへの不正コードの混入と同じ形です。信頼している配布元そのものが入り口になるので、利用者の側で完全に見抜くのは難しいのが現実です。

だからこそ、入られたときの被害を小さくしておくことが大事になります。

• 使わないならSSHのログインは無効のままにしておく（Macなら、システム設定の「一般」→「共有」にある「リモートログイン」がオフか確かめる）
• パソコンに大事な鍵を置きっぱなしにしない：使い終わったAPIの鍵は消す、権限は必要な分だけにする
• 主なサービスは二段階認証にしておく：GitHubやクラウドのアカウントなど
• 使っている道具の公式のお知らせを受け取れるようにしておく：今回のように、気づくのが早いほど片付けが楽になる

AIの道具がパソコンを操作する場面が増えている話は、ChatGPTのChrome拡張の記事でも取り上げました。便利な道具ほど、パソコンの中で多くのことを任されています。

今わかっていないこと

このブログの考え方

このブログの運営でも、AIのコーディングの道具を使っています。AIに作業を手伝ってもらうために入れた道具が、逆に入口になってしまう。今回の件は、ひとごとではないと感じました。

AIの道具は、自分のパソコンの中で、自分と同じ力を持って動いています。便利さと引き換えに、どこまで任せているのかを一度見直しておく。それが、AIの道具と長く付き合うための備えだと思います。

まとめ

• Cursorの拡張機能ストアで、偽のClaude Code拡張（2.1.312・2.1.313）が約11時間配られた
• 入れると、攻撃者の鍵を書き足し、外から入るための裏口を作ろうとする
• 拡張機能を消しても仕掛けは残るので、鍵の一覧に「svc-telemetry」がないか確かめる
• 見つかったら、切り離し・片付け・パスワードやトークンの変更を、別のパソコンから行う
• VS Codeの公式ストアやターミナル版のClaude Codeは対象外とされている

参考資料

• Claude Code extension security notice（Cursor、2026年10月29日・英語）
• Official Claude Code extension compromise（Phorion、2026年10月30日・英語）
• Malicious Claude Code extension on Cursor planted SSH backdoors（BleepingComputer、2026年10月30日・英語）
• Claude Code extension poisoned with persistent SSH backdoor（Help Net Security、2026年10月30日・英語）
• Cursor marketplace Claude Code extension backdoor（The Register・英語）

※ 記事の内容は、2026年11月2日時点の情報をもとにしています。調査が進むと内容が変わることがあります。