Cursor-Vorfall: Bei Fireworks offengelegter Schlüssel führte zur Schad-Erweiterung

Cursor hat am 13. November 2026 seinen ausführlichen Bericht zum Sicherheitsvorfall rund um die manipulierte Claude-Code-Erweiterung veröffentlicht. Danach begann der Angriff nicht im Erweiterungs-Marktplatz, sondern beim KI-Dienstleister Fireworks: Ein Zugangsschlüssel, den Cursor an Fireworks ausgegeben hatte, war laut Cursor dort offengelegt worden. Darüber kamen die Angreifer an Zugangsdaten für weitere Cursor-Systeme und am 29. Oktober an den Marktplatz.

Betroffen sind damit nicht nur die höchstens 5.000 Nutzer der Schad-Erweiterung. Auch wer Zugangsdaten an den Cursor-Support geschickt oder Coding-Agenten ohne Privacy Mode genutzt hat, kann betroffen sein. Cursor hat nach eigenen Angaben jeden betroffenen Kunden direkt angeschrieben. Teams mit Cursor sollten diese Nachrichten jetzt suchen und genannte Schlüssel umgehend tauschen.

Was ist passiert?

Laut Cursor nutzte der Angreifer den bei Fireworks offengelegten Schlüssel, um Daten aus einem schreibgeschützten Storage-Bucket zu kopieren. Über diesen Bucket teilte Cursor Daten mit Fireworks. Darin lagen Aufzeichnungen von Coding-Agent-Sitzungen (Traces), überwiegend aus 2025 und nur aus Sitzungen ohne Privacy Mode, die Cursor für das Training verwenden durfte. Einige dieser Traces enthielten nicht geschwärzte Zugangsdaten.

Mit diesen Zugangsdaten erreichte der Angreifer ausgewählte SaaS-Werkzeuge von Cursor. Dort griff er nach Angaben des Herstellers auf archivierte, nicht produktive Quellcode-Repositories zu, teils mit geschäftlichen Kontaktdaten, außerdem auf begrenzte Supportdaten und E-Mail-Verläufe, Nutzungsmetriken und Kontaktdaten, Zusammenfassungen einiger Agent-Unterhaltungen sowie auf einige Zugangsdaten, die Nutzer dem Support geschickt hatten.

Ein weiteres gestohlenes Zugangsdatum erlaubte es, am 29. Oktober manipulierte Kopien von Anthropics Claude-Code-Erweiterung (Anthropic.claude-code) direkt in den Cache zu legen, aus dem Cursor seinen VS-Code-Marktplatz ausliefert. Die Schadversionen 2.1.312 und 2.1.313 waren rund elf Stunden abrufbar. Anthropic hat diese Kopien nicht veröffentlicht, und Open VSX als Quelle des Marktplatzes war laut Cursor nie betroffen. S-EDV hatte über die Claude-Code-Erweiterung mit SSH-Hintertür am 31. Oktober berichtet. Die letzte Angreiferaktivität sah Cursor am 1. November, Cursor hält den Vorfall für eingedämmt.

Wer ist betroffen?

• Nutzer, die die Erweiterung anthropic.claude-code in Version 2.1.312 oder 2.1.313 am 29. Oktober aus dem Cursor-Marktplatz bezogen haben. Laut Cursor könnten höchstens 5.000 Nutzer die Schadversion erhalten haben.
• Nutzer ohne Privacy Mode, deren Traces im Bucket lagen. Das betrifft laut Cursor weniger als 0,05 Prozent der Nutzer. Wer keine Benachrichtigung erhalten hat, dessen Daten waren nach Angaben des Herstellers nicht in diesen Traces.
• Kunden, deren API-Zugangsdaten in den Traces standen, laut Cursor weniger als 0,01 Prozent der Kunden. Team-Admins haben eine Liste der zu tauschenden Schlüssel per Mail erhalten.
• Kunden, die Zugangsdaten an den Cursor-Support geschickt haben oder deren Support- und Geschäftsdaten betroffen sein können.

Nicht betroffen sind laut Cursor Prompts und Code aus Sitzungen mit Privacy Mode, die Produktivsysteme, die Cursor-App und ihre offiziellen Updates, Kunden-Repositories, andere Erweiterungen im Marktplatz und Plugins aus dem Cursor Marketplace. Release-Signaturschlüssel wurden nicht offengelegt.

Wie kritisch ist das?

Die große Mehrheit der Kunden war laut Cursor nicht betroffen. Für die Betroffenen ist es hoch: Offengelegte API-Schlüssel und an den Support geschickte Zugangsdaten sind direkt nutzbar, solange sie nicht getauscht sind. BleepingComputer ordnet den Fall in eine Angriffswelle auf KI-Entwicklerplattformen ein, die der Sicherheitsanbieter Wiz „Black October“ nennt. Dazu zählen Vorfälle bei Railway, OpenCode und Warp.

Was sollten Admins jetzt tun?

• Postfächer prüfen: Benachrichtigungen von Cursor an Nutzer und Team-Admins seit dem 30. Oktober suchen und darin genannte Schlüssel bei den jeweiligen Diensten sperren und neu ausstellen.
• Support-Verlauf durchsehen: Jedes Passwort, jeden Token und jeden API-Schlüssel, der jemals an den Cursor-Support ging, als offengelegt behandeln und tauschen.
• Erweiterung prüfen: Auf Geräten mit Cursor nach anthropic.claude-code 2.1.312 oder 2.1.313 suchen und bei einem Treffer die Schritte aus Cursors Sicherheitshinweis vom 29. Oktober (aktualisiert am 30. Oktober) abarbeiten. Laut Cursor reicht Deinstallieren allein möglicherweise nicht.
• Privacy Mode: Für Teams, die Code oder Zugangsdaten nicht beim Anbieter oder seinen Dienstleistern sehen wollen, Privacy Mode verpflichtend einstellen.
• Geheimnisse aus Sitzungen fernhalten: Schlüssel nicht in Prompts oder Support-Tickets einfügen, sondern über einen Secrets-Speicher bereitstellen.
• Abrechnung überwachen: Verbrauch bei KI- und Cloud-Anbietern auf ungewöhnliche Spitzen prüfen.

Einordnung für Unternehmen

Bemerkenswert ist der Weg des Angriffs. Nicht der Editor selbst und nicht der Marktplatz waren das erste Ziel, sondern ein Dienstleister, mit dem Cursor Trainingsdaten teilte. Wer KI-Werkzeuge im Team einsetzt, sollte deshalb nicht nur den Anbieter bewerten, sondern auch fragen, welche Daten an dessen Dienstleister fließen und ob sich das per Einstellung abschalten lässt. Cursor hat seine Inferenz inzwischen von Fireworks abgezogen, alle internen Zugangsdaten getauscht und den Marktplatz neu aufgebaut.

Passende Anleitungen auf S-EDV

• Infisical mit Docker installieren: Open-Source-Plattform für Secrets Management
• Railway: Möglicher Zugriff auf Kunden-Secrets, Rotation empfohlen

Quellen

• Cursor: Bericht zum Sicherheitsvorfall vom 13. November 2026
• Cursor: Sicherheitshinweis zur manipulierten Claude-Code-Erweiterung
• BleepingComputer: Cursor bestätigt Einbruch als Ursache