Im Marktplatz des KI-gestützten Code-Editors Cursor sind manipulierte Versionen der offiziellen Claude-Code-Erweiterung aufgetaucht. Am 29. Oktober 2026 standen die manipulierten Builds 2.1.312 und 2.1.313 für Windows und macOS über einen Zeitraum von rund elf Stunden – von 2:27 bis 13:35 Uhr PT – zum Download bereit.
Nach Angaben von Cursor waren bis zu 5.000 Nutzer potenziell von dem Vorfall betroffen. Das Sicherheitsunternehmen Phorion hatte die manipulierte Erweiterung zuerst auf dem Mac eines Kunden identifiziert.
Schadcode schleuste Hintertür ohne Nutzerinteraktion ein
Die Version 2.1.313 wurde nach Erkenntnissen von Phorion und Kevin Beaumont über den offiziellen Cursor-Account von Anthropic veröffentlicht. Auf welchem Weg der unbefugte Zugriff auf diesen Account erfolgte, ist bislang ungeklärt. Die Schadroutine startete beim Laden der Erweiterung ohne jede Nutzerinteraktion: Dem legitimen Code wurde unter Anthropics echter Erweiterungs-ID ein 66 Zeilen langer Loader vorangestellt.
Nach dem Start erfasste die Payload Systemdaten und übermittelte Hostname, Benutzername, Betriebssystem, Home-Verzeichnis, die öffentliche IP-Adresse, die Git-E-Mail sowie die Namen von bis zu 40 Umgebungsvariablen, darunter Bezeichnungen wie KEY, TOKEN, SECRET, PASS, AWS und GCP.
Immer mehr Unternehmen werden Opfer von Cyberangriffen – diese Checkliste hilft Ihnen, es zu verhindern. Experten erklären im kostenlosen E-Book, wie Sie sich proaktiv absichern, bevor es zu spät ist. IT-Sicherheits-Guide für Unternehmen jetzt kostenlos herunterladen
Eine Analyse von Microsoft bestätigte am 30. Oktober 2026, dass die tatsächlichen Werte dieser Umgebungsvariablen lokal verblieben und nicht übertragen wurden; eine Attribution nahm Microsoft nicht vor.
Zusätzlich hinterlegte die Schadsoftware einen SSH-Schlüssel mit der Bezeichnung „svc-telemetry“ in der Datei authorized_keys, versuchte den lokalen SSH-Dienst zu aktivieren und einen Reverse-SSH-Tunnel über HTTP zur Serveradresse 134.209.82.225 aufzubauen.
In den meisten Umgebungen schlug die Aktivierung des SSH-Dienstes an fehlenden Administratorrechten oder an einem Softwarefehler unter macOS fehl. War der Fernzugriff auf den Geräten jedoch bereits aktiv, blieben die Systeme exponiert. Unabhängig davon wurden der Schlüssel, Persistenzmechanismen und der Datenversand auf den Systemen etabliert.
Wer als Unternehmer Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen erfüllen möchte, findet in diesem Report wertvolle Unterstützung. Das Gratis-E-Book enthüllt, wie Sie Ihre Firma ohne teure Investitionen vor Cyberangriffen schützen. Kostenloses E-Book zur Cyber Security sichern
Zur dauerhaften Verankerung richtete die Schadsoftware unter macOS den LaunchAgent „com.apple.sysmond“, unter Linux einen Cron-Eintrag sowie unter Windows die Aufgabe „SysMon“ ein, die etwa alle 60 Sekunden und nach einem Neustart Verbindungsversuche unternahmen.
Plattformbetreiber ergreifen Gegenmaßnahmen
Cursor reagierte am 29. Oktober 2026 mit der vorsorglichen Abschaltung des gesamten Marktplatzes, entfernte die betroffenen Versionen, rotierte interne Sicherheitsschlüssel, auditierte weitere Erweiterungen und baute den Marktplatz neu auf.
Zudem wurde der Server der Angreifer über den zuständigen Hosting-Provider vom Netz genommen. Das Unternehmen kontaktierte potenziell Betroffene direkt und überprüfte Zugriffsrechte; Hinweise auf weitere manipulierte Erweiterungen oder andere Versionen gebe es nicht.
Anthropic stellte noch am selben Tag die bereinigte Version 2.1.314 der Claude-Code-Erweiterung bereit. Felix Rieseberg von Anthropic wies am 30. Oktober 2026 zurück, dass der Supply-Chain-Angriff auf eine interne Kompromittierung zurückzuführen sei: Weder Systeme noch Laptops von Anthropic-Mitarbeitern seien betroffen gewesen, und die manipulierten Builds stammten nicht von Anthropic.
Laut Anthropic beschränkte sich der Vorfall ausschließlich auf Cursor-Nutzer, die das Paket bezogen hatten. Andere Distributionswege wie Open VSX oder der Microsoft-Marktplatz waren von der Version 2.1.313 nicht betroffen; die Version 2.1.312 auf Open VSX erwies sich als legitim. Auch über npm wurde Schadcode laut Microsoft nicht verbreitet.
Wie das manipulierte Paket in den Marktplatz gelangen konnte, blieb vonseiten Cursors und Anthropics zunächst unbeantwortet. Da eine reine Deinstallation der Erweiterung die angelegte Hintertür nicht beseitigt, rät das Sicherheitsunternehmen Morphisec betroffenen Organisationen zur eingehenden Untersuchung der Entwickler-Endgeräte, zur vorübergehenden Isolation sowie zur Aktualisierung sämtlicher Zugangsdaten.