Der KI-fokussierte Entwicklungsumgebungs-Anbieter Cursor hat einen schwerwiegenden Sicherheitsvorfall gemeldet. Rund 5.000 Nutzer haben möglicherweise eine manipulierte Version der beliebten Claude-Code-Erweiterung installiert. Wie das Unternehmen einräumte, war die kompromittierte Fassung über den hauseigenen Erweiterungs-Marktplatz verteilt worden.
Am Donnerstag, dem 29. Oktober 2026, stand die manipulierte Version 2.1.313 der Erweiterung anthropic.claude-code für rund elf Stunden im Cursor-VS-Code-Marketplace zum Download bereit – konkret von etwa 2:27 bis 13:35 Uhr PT (9:27 bis 20:35 UTC).
Betroffen waren Builds für die Plattformen darwin-arm64 unter macOS sowie win32-x64 unter Windows. Cursor beziffert die Zahl der potenziell betroffenen Anwender auf höchstens 5.000. Angaben zu betroffenen Regionen machte das Unternehmen bislang nicht.
Schadcode schleuste SSH-Zugänge ein und spähte Daten aus
Die schädliche Erweiterung wurde unter der legitimen Publisher-ID anthropic.claude-code als reguläres Update getarnt. Nach dem Start der Entwicklungsumgebung oder beim Öffnen einer Webansicht aktivierte sich ein 66-zeiliger Loader innerhalb des JavaScript-Bundles.
Auf infizierten Systemen sammelte die Schadsoftware zahlreiche Systeminformationen, darunter Rechnername, Benutzername, Betriebssystem, Architektur, den Pfad des Benutzerverzeichnisses, Git-E-Mail-Adressen und die öffentliche IP-Adresse. Zudem las sie bis zu 40 Namen von Umgebungsvariablen aus, die typischerweise mit Cloud-Diensten wie AWS oder GCP verknüpft sind.
Darüber hinaus richtete der Schadcode tiefgreifende Hintertüren ein. Er fügte einen SSH-Schlüssel mit der Bezeichnung „svc-telemetry“ in die Datei authorized_keys ein und versuchte, einen Reverse-SSH-Tunnel zur IP-Adresse 134.209.82.225 auf Port 22 aufzubauen. Regelmäßige Statusmeldungen wurden per HTTP POST an einen Endpunkt auf Port 8099 übermittelt.
Angriffe wie dieser verdeutlichen, wie schnell sensible Zugangsdaten und Cloud-Credentials in die falschen Hände geraten können. Dieses kostenlose E-Book zeigt Unternehmern und IT-Verantwortlichen, wie sie Sicherheitslücken proaktiv schließen und ihre Firma ohne hohe Investitionen schützen. IT-Sicherheit stärken und Bedrohungen abwenden
Um dauerhaft auf dem System verankert zu bleiben, hinterlegte der Code Persistenzmechanismen: unter macOS einen LaunchAgent namens com.apple.sysmond, unter Windows eine Aufgabe namens „SysMon“ und unter Linux einen entsprechenden Cron-Eintrag. Das zugehörige Tunnel-Skript unternahm etwa alle 60 Sekunden einen erneuten Verbindungsversuch.
Nach Angaben von Cursor scheiterte die Aktivierung des eigentlichen SSH-Dienstes auf den meisten Zielrechnern an fehlenden Administratorrechten. Die Übermittlung der Systemdaten, das Hinterlegen des Schlüssels sowie die Persistenzskripte blieben jedoch aktiv. Mittlerweile ist der Server des Angreifers unter der ermittelten IP-Adresse nicht mehr erreichbar.
Gegenmaßnahmen und Abgrenzung von Anthropic
Cursor reagierte mit Sofortmaßnahmen: Das Unternehmen entfernte die Version 2.1.313, blockierte die weitere Auslieferung, schaltete den eigenen Marktplatz vorübergehend vollständig ab und baute ihn neu auf. Eine interne Überprüfung ergab laut Cursor keine weiteren Funde in anderen Erweiterungen; auch Tools wie Grok Bot oder Grok seien unberührt geblieben. Zudem wurden relevante Schlüssel rotiert.
Wer sich mit der Absicherung professioneller IT-Infrastrukturen befasst, muss heute auch die neuen rechtlichen Rahmenbedingungen für Technologien wie KI kennen. Ein neuer Gratis-Report klärt darüber auf, welche rechtlichen Pflichten und Cyberrisiken durch die EU-Gesetzgebung jetzt für Unternehmen relevant werden. Kostenlosen Cyber-Security-Report jetzt herunterladen
Cursor-Chef Michael Truell informierte die Öffentlichkeit über einen Sicherheitshinweis sowie auf X und kündigte eine direkte Kontaktaufnahme mit allen betroffenen Anwendern an.
Der KI-Entwickler Anthropic wies Vorwürfe zurück, der Vorfall gehe auf ein Leck im eigenen Haus zurück. Anthropic-Mitarbeiter Felix Rieseberg erklärte, dass keine eigenen Systeme oder Mitarbeitergeräte kompromittiert worden seien.
Vielmehr habe sich ein Angreifer Zugang zum Cursor-Marktplatz verschafft, um eine manipulierte Fassung einzuspielen, die weder von Anthropic erstellt noch veröffentlicht worden sei. Anthropic stellte zugleich klar, dass für Plattformen wie Open VSX oder den offiziellen Microsoft-Marktplatz kein Nachweis über eine Verbreitung vorliege.
Handlungsempfehlungen für Entwickler
Anthropic veröffentlichte umgehend die bereinigte Version 2.1.314 der Claude-Code-Erweiterung, deren Installation auch Cursor dringend empfiehlt.
Beide Unternehmen sowie IT-Sicherheitsanalysten von Sophos X-Ops betonen, dass eine bloße Deinstallation der manipulierten Version nicht genügt, da die Persistenz-Skripte auf den Rechnern verbleiben.
Entwickler und Administratoren sollten Entwicklungsrechner mit installierter Cursor-Umgebung umgehend auf den SSH-Schlüssel „svc-telemetry“, verdächtige Tunnel-Prozesse und Hintertüren in den Systemstarts prüfen, diese rückstandslos bereinigen und potenziell betroffene Zugangsdaten sowie Cloud-Credentials zügig rotieren.
Mehr zum Thema bei The Verge: „Cursor says around 5,000 people may have installed a malicious Claude Code extension.“