Claude-Code-Erweiterung im Cursor-Marktplatz mit SSH-Hintertür

Über den Erweiterungs-Marktplatz des KI-Editors Cursor ist am 29. Oktober 2026 eine manipulierte Fassung der offiziellen Erweiterung „Claude Code for VS Code“ verteilt worden. Betroffen sind die Versionen 2.1.312 und 2.1.313 der Erweiterung anthropic.claude-code. Der eingeschleuste Code legt einen fremden SSH-Schlüssel ab, richtet Persistenz ein, versucht einen Reverse-SSH-Tunnel aufzubauen und meldet Systemdaten an einen Server der Angreifer. Cursor spricht von höchstens 5.000 betroffenen Nutzern.

Wer Claude Code über den Microsoft VS Code Marketplace oder Open VSX bezogen hat, ist nach bisherigem Stand nicht betroffen. Für Rechner, auf denen eine der beiden Versionen aus dem Cursor-Marktplatz installiert war, reicht ein Update nicht: Admins sollten diese Geräte heute prüfen und bei einem Treffer wie einen Sicherheitsvorfall behandeln.

Was ist passiert?

Laut Sicherheitshinweis von Cursor war die manipulierte Erweiterung am 29. Oktober zwischen etwa 2:27 und 13:35 Uhr Pacific Time abrufbar, also rund elf Stunden. Entdeckt hat den Vorfall der EDR-Anbieter Phorion. Die Angreifer setzten einen kurzen JavaScript-Lader an den Anfang der Datei extension.js, der Rest des Pakets blieb unverändert. Der Code läuft, sobald der Editor die Erweiterung lädt, eine Interaktion mit Claude Code ist nicht nötig.

Der Schadcode hängt einen Ed25519-Schlüssel mit dem Kommentar svc-telemetry an ~/.ssh/authorized_keys an, versucht den lokalen SSH-Dienst zu aktivieren und baut einen Tunnel zu 134.209.82.225 auf. Als Persistenz dienen auf macOS der LaunchAgent com.apple.sysmond.plist, unter Windows eine geplante Aufgabe „SysMon“ oder ein Skript im Autostart-Ordner, unter Linux ein @reboot-Eintrag in der Crontab. Zusätzlich sendet er Hostname, Benutzername, Git-E-Mail, öffentliche IP und bis zu 40 Namen von Umgebungsvariablen, nicht deren Werte, per HTTP an Port 8099.

Cursor hat die Versionen entfernt, den Marktplatz vorübergehend abgeschaltet, eigene Schlüssel rotiert und den Server der Angreifer mit dem Hoster vom Netz genommen. Anthropic erklärte gegenüber The Register, die eigenen Systeme seien nicht kompromittiert worden. Wie die Angreifer das Paket unter Anthropics Erweiterungs-ID veröffentlichen konnten, ist weiterhin offen.

Wer ist betroffen?

Betroffen sind Installationen oder automatische Updates auf 2.1.312 oder 2.1.313 aus dem Cursor-Marktplatz im genannten Zeitfenster. Cursor nennt macOS und Windows, der analysierte Code enthält laut Phorion auch Linux-Logik. Laut The Hacker News hat Anthropic inzwischen Version 2.1.314 auf Open VSX und im Microsoft-Marktplatz veröffentlicht.

Wie kritisch ist das?

Hoch, mit Einschränkung. Phorion und Cursor beschreiben Fehler im Schadcode: Auf macOS scheitert die Prüfung von „Remote Login“ ohne Adminrechte, unter Windows ruft der Code PowerShell über /bin/sh auf. Ist SSH nicht ohnehin aktiv, führt der Tunnel ins Leere. Schlüssel, Persistenz und Datenabfluss greifen trotzdem. Auf Rechnern mit laufendem SSH-Dienst war ein Fernzugriff möglich.

Was sollten Admins jetzt tun?

• Inventar prüfen: Auf welchen Geräten ist Cursor mit anthropic.claude-code 2.1.312 oder 2.1.313 installiert oder war es am 29. Oktober?
• Nach dem Schlüssel suchen: grep -qs svc-telemetry ~/.ssh/authorized_keys; unter Windows zusätzlich C:\ProgramData\ssh\administrators_authorized_keys. Da der Kommentar änderbar ist, besser auch den Fingerprint SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk abgleichen.
• Telemetrie durchsuchen: Verbindungen zu 134.209.82.225 auf Port 22 und 8099, Prozesse mit ssh -N -R '*:0:localhost:22', Dateien ~/.config/.smt, ~/.config/.smtk und .stk_* im Temp-Verzeichnis.
• Bei einem Treffer: Gerät isolieren, die Bereinigungsskripte von Cursor nutzen oder Persistenz, Tunnelprozesse und Schlüssel manuell entfernen. Deinstallieren der Erweiterung allein genügt nicht.
• Zugangsdaten und Sitzungen, die vom Gerät erreichbar waren, von einem vertrauenswürdigen System aus rotieren; einen Neuaufbau erwägen. Auf Linux zusätzlich die Crontab prüfen, da ein Fehler im Schadcode bestehende Einträge löschen kann.

Einordnung für Unternehmen

Der Fall zeigt, dass Editor-Erweiterungen mit den Rechten des Entwicklers laufen und über automatische Updates ohne Zutun auf Arbeitsplätze gelangen. Fälle wie die schädliche Solidity-Pro-Erweiterung zielten bereits auf SSH-Schlüssel von Entwicklern; neu ist hier, dass der Schadcode unter einer offiziellen Erweiterungs-ID kam. Unternehmen sollten Erweiterungen auf Entwicklerrechnern inventarisieren, Auto-Updates aus Drittmarktplätzen bewerten und Schreibzugriffe auf ~/.ssh überwachen.

Passende Anleitungen auf S-EDV

• Claude Code Plugins installieren und nutzen
• Gitleaks im Docker-Container: Secrets in Repositories finden
• Linux-Server mit UFW und Fail2ban absichern

Quellen

• Cursor: Claude Code extension security notice
• Phorion: Analyse der kompromittierten Erweiterung (Update 31.10.2026)
• BleepingComputer: Malicious Claude Code extension on Cursor planted SSH backdoors
• The Hacker News: Official Claude Code Extension on Cursor Marketplace Trojanized
• The Register: Stellungnahme von Anthropic