In breve
Il 29 ottobre 2026 un’estensione Claude Code modificata in modo malevolo è stata distribuita tramite il marketplace di estensioni VS Code di Cursor, con l’ID ufficiale dell’estensione di Anthropic. Su macOS e Windows aggiungeva una chiave SSH dell’attaccante, installava la persistenza e tentava di aprire tunnel inversi. Cursor stima che fino a 5.000 utenti l’abbiano installata. VS Code Marketplace, Open VSX e la CLI di Claude Code non sono stati coinvolti. Se i vostri sviluppatori usano Cursor, controllate subito le loro macchine.
Che cosa è successo nel marketplace di estensioni di Cursor?
Cursor, l’editor di codice AI-first basato su VS Code, gestisce un proprio marketplace per le estensioni compatibili con VS Code. Il 29 ottobre ha reso noto che una «versione modificata in modo malevolo» dell’estensione Claude Code, il componente IDE dell’agente di programmazione di Anthropic, era rimasta disponibile per gran parte della mattinata lavorativa statunitense. Gli attaccanti non hanno pubblicato un pacchetto dal nome simile: hanno distribuito la build con l’ID autentico anthropic.claude-code, così gli editor con aggiornamento automatico l’hanno semplicemente scaricata.
Cursor afferma di aver rimosso la versione non appena individuata, di aver messo offline il marketplace, di averlo ricostruito, di aver ruotato le proprie chiavi e di aver collaborato con il provider di hosting per spegnere il server dell’attaccante. Non ha trovato altre estensioni compromesse e sta contattando ogni utente che ha scaricato la build coinvolta. Anthropic non ha sviluppato la versione malevola e ha pubblicato una release pulita, la 2.1.314, su Open VSX e sul Visual Studio Marketplace. Nessuna delle due aziende ha ancora spiegato come l’attaccante sia riuscito a inserire una build nel marketplace di Cursor a nome di Anthropic.
Che cosa faceva l’estensione malevola?
Secondo le analisi di OX Security e BleepingComputer, gli attaccanti hanno inserito un loader di 66 righe davanti al codice legittimo dell’estensione. Al caricamento dell’estensione, il codice:
- raccoglieva hostname, nome utente, sistema operativo, identità Git e indirizzo IP pubblico;
- aggiungeva una chiave ed25519 controllata dall’attaccante, con etichetta
svc-telemetry, a~/.ssh/authorized_keys; - installava la persistenza: un LaunchAgent in
~/Library/LaunchAgents/com.apple.sysmond.plistsu macOS, oppure un’attività pianificataSysMoncon uno script di avvio di riservasysmon.cmdsu Windows; - ritentava circa una volta al minuto un tunnel SSH inverso verso 134.209.82.225 e inviava i dettagli dell’host a un endpoint beacon sulla porta 8099.
BleepingComputer osserva che alcuni errori di programmazione hanno limitato i danni: il malware non riusciva ad attivare SSH dove non era già in esecuzione, quindi molte macchine hanno probabilmente ricevuto la persistenza senza un accesso remoto funzionante. È stata fortuna, non un controllo di sicurezza. Su qualsiasi macchina di sviluppo con SSH attivo, l’attaccante avrebbe ottenuto una shell con gli stessi accessi dell’ingegnere.
Perché le estensioni IDE sono un bersaglio così appetibile?
Un’estensione dell’editor gira con l’utente dello sviluppatore e ha accesso al codice sorgente, ai file .env, alle sessioni delle CLI cloud, alle chiavi SSH e ai token dei registri di pacchetti. La maggior parte dei team lascia che le estensioni si aggiornino in silenzio, e pochi strumenti di protezione degli endpoint considerano sospetto un aggiornamento firmato da un editore noto. L’incidente arriva inoltre in un mese difficile per gli strumenti di sviluppo basati sull’IA: piattaforme in hosting come Railway e Northflank hanno comunicato violazioni che hanno esposto segreti dei clienti, e gli attaccanti stanno chiaramente dando la caccia alle credenziali che i flussi di lavoro ricchi di IA lasciano sulle macchine degli sviluppatori.
| Canale | Ha distribuito la build malevola? | Azione |
|---|---|---|
| Marketplace di estensioni VS Code di Cursor | Sì, 29 ottobre, tra le 2:27 e le 13:35 circa, ora del Pacifico (PT) | Controllare ogni utente Cursor che ha aggiornato quel giorno |
| Microsoft Visual Studio Marketplace | No, secondo Cursor e i ricercatori | Aggiornare alla 2.1.314 come di routine |
| Open VSX | No, secondo Cursor e i ricercatori | Aggiornare alla 2.1.314 come di routine |
| CLI di Claude Code (npm) | No | Nessuna azione legata all’incidente |
Cosa significa per i team software in Italia
Primo: l’IDE fa parte della vostra catena di fornitura del software. Team che blindano npm e le immagini container spesso lasciano che qualsiasi estensione, da qualsiasi marketplace, si aggiorni automaticamente su portatili che custodiscono credenziali di produzione. Tenete una allowlist di estensioni ed editori approvati e, per gli strumenti con privilegi elevati come gli agenti di programmazione IA, valutate di bloccare le versioni o di ritardare gli aggiornamenti di un giorno o due, così che incidenti come questo vengano intercettati prima di arrivare a voi.
Secondo: tenete i segreti a lunga durata lontano dalle macchine degli sviluppatori. Una backdoor su un portatile vale quanto ciò che quel portatile può raggiungere. Sessioni cloud di breve durata tramite SSO, segreti prelevati a runtime da un vault e accessi alla produzione che richiedono un passaggio separato riducono tutti il raggio d’impatto. È igiene di base cloud e DevOps, e gli strumenti IA che chiedono ampi accessi locali la rendono più urgente, non meno.
Terzo: monitorate gli endpoint per la persistenza, non solo per le firme dei malware. Nuove voci in authorized_keys, nuovi launch agent e nuove attività pianificate costano poco da monitorare e avrebbero intercettato direttamente questo payload. Se un portatile di sviluppo con accesso a dati dei clienti viene compromesso, l’incidente può diventare una violazione di dati personali, con l’orologio delle 72 ore per la notifica che parte subito.
Cosa fare questa settimana
- Individuate gli utenti esposti. Elencate chiunque abbia usato Cursor con l’estensione Claude Code il 29 ottobre e verificate quale versione aveva installato.
- Cercate gli indicatori. Cercate la chiave
svc-telemetry,com.apple.sysmond.plist, l’attivitàSysMon,sysmon.cmde le connessioni verso 134.209.82.225, usando gli elenchi di IOC di Cursor e OX Security. - Isolate e ripulite. Isolate gli host coinvolti, rimuovete la chiave e la persistenza, interrompete i processi di tunnel oppure ricostruite da un’immagine affidabile.
- Ruotate le credenziali. Ruotate chiavi SSH, sessioni cloud, token Git e dei registri e chiavi API dei servizi IA raggiungibili dalle macchine coinvolte, e invalidate le sessioni attive.
- Aggiornate in modo pulito. Passate all’estensione Claude Code 2.1.314 o successiva.
- Definite una policy sulle estensioni. Approvate gli editori, controllate gli aggiornamenti automatici degli strumenti con privilegi elevati e attivate allerte su nuove chiavi SSH e nuovi elementi di avvio.
Domande frequenti
Che cosa è successo con l’estensione Claude Code su Cursor?
Il 29 ottobre 2026, tra le 2:27 e le 13:35 circa, ora del Pacifico (PT), il marketplace di estensioni VS Code di Cursor ha distribuito una build modificata in modo malevolo dell’estensione Claude Code di Anthropic con l’ID ufficiale anthropic.claude-code. L’avviso di Cursor indica le versioni 2.1.312 e 2.1.313 per macOS e Windows. Il codice manomesso aggiungeva una chiave SSH dell’attaccante, installava meccanismi di persistenza e tentava di aprire tunnel SSH inversi. Cursor stima fino a 5.000 utenti esposti.
VS Code, Open VSX o la CLI di Claude Code sono coinvolti?
Secondo Cursor e i ricercatori che hanno analizzato il pacchetto, no. La build malevola è stata trovata solo nel marketplace di estensioni di Cursor, non nel Visual Studio Marketplace di Microsoft, in Open VSX o nel pacchetto npm della CLI di Claude Code. Anthropic non ha sviluppato la build malevola e ha poi pubblicato una versione pulita, la 2.1.314.
Come verifico se la mia macchina è stata compromessa?
Cercate una chiave pubblica SSH con etichetta svc-telemetry in ~/.ssh/authorized_keys, un LaunchAgent com.apple.sysmond.plist su macOS, oppure un’attività pianificata SysMon e uno script di avvio sysmon.cmd su Windows. Controllate anche i log di rete alla ricerca di connessioni verso 134.209.82.225. Cursor e OX Security hanno pubblicato gli elenchi completi degli indicatori.
Basta disinstallare l’estensione?
No. Il payload installa una persistenza che sopravvive alla rimozione dell’estensione. Rimuovete la chiave SSH non autorizzata, eliminate i file di persistenza e le attività pianificate, interrompete i processi di tunnel, ruotate tutte le credenziali raggiungibili dalla macchina e valutate di ricostruire l’host da un’immagine affidabile.
Come possono i team ridurre il rischio di estensioni IDE compromesse?
Tenete una allowlist di estensioni ed editori approvati, bloccate o ritardate gli aggiornamenti automatici degli strumenti con privilegi elevati, tenete le credenziali cloud e di produzione a lunga durata lontano dai portatili degli sviluppatori e monitorate gli endpoint per nuove chiavi SSH, launch agent e attività pianificate. Trattate il marketplace dell’IDE come parte della vostra catena di fornitura del software.
Fonti
Cursor — Security notice: malicious version of Anthropic.claude-code identified in the Cursor VS Code Extension Marketplace (October 29, 2026, updated October 30)
BleepingComputer — Malicious Claude Code extension on Cursor planted SSH backdoors (October 30, 2026)
OX Security — Compromised Claude Code Extension (2.1.313) in Cursor Marketplace Plants Attacker SSH Key and Persistence (October 30, 2026)
Sophos — Malicious Claude Code extension distributed through Cursor marketplace