2.11.2026Haitallinen Claude Code -päivitys altisti Cursor-käyttäjiä SSH-takaovelle
Anthropicin Claude Code -laajennuksesta levitettiin Cursor Marketplace -kauppapaikan kautta haitallista versiota, joka saattoi altistaa tuhansia kehittäjiä pysyvälle SSH-takaovelle.
Haitallinen päivitys julkaistiin aidon Claude Code -laajennuksen nimissä, joten se saattoi näyttää käyttäjille täysin viralliselta päivitykseltä. Cursorin mukaan jopa noin 5 000 käyttäjää saattoi asentaa tai saada automaattisesti saastuneen version Cursor Marketplacesta 29. lokakuuta.
Muokattu laajennus yritti lisätä hyökkääjän hallitseman SSH-avaimen järjestelmään, luoda pysyviä mekanismeja sekä muodostaa käänteisen SSH-yhteyden ulkoiselle palvelimelle. Se keräsi myös perustietoja järjestelmästä, kuten käyttäjänimen, käyttöjärjestelmän tiedot, Git-sähköpostiosoitteen sekä ympäristömuuttujien nimiä, jotka saattoivat viitata tunnusten tai pilvipalveluiden käyttöavainten olemassaoloon.
Hyökkäys rajoittui Cursor Marketplaceen. Anthropic vahvisti, ettei sen omia järjestelmiä murrettu, ja Microsoft sekä Open VSX ilmoittivat, ettei haitallisia versioita jaettu niiden kauppapaikkojen kautta. Cursor on sittemmin poistanut haitalliset paketit, rakentanut kauppapaikkansa infrastruktuuria uudelleen ja vaihtanut siihen liittyviä tietoturva-avaimia.
Käyttäjien, jotka asensivat Claude Code -versiot 2.1.312 tai 2.1.313 Cursor Marketplacen kautta, kannattaa tarkistaa järjestelmänsä huolellisesti. Pelkkä laajennuksen päivittäminen tai poistaminen ei välttämättä riitä, sillä haittaohjelma on voinut luoda SSH-avaimia, käynnistyskohteita ja muita pysyviä tiedostoja laajennuksen ulkopuolelle. Myös mahdollisesti vaarantuneet tunnukset ja aktiiviset istunnot kannattaa uusia.
Tapaus korostaa ohjelmistokauppapaikkojen ja kehitystyökalujen toimitusketjujen suojaamisen merkitystä. Luotettu päivitysmekanismi voi väärinkäytettynä tarjota hyökkääjälle tehokkaan tavan levittää haittaohjelmia laajalle käyttäjäjoukolle.
Lisätietoja