Gefälschte Claude-Code-Erweiterung öffnete Hintertür in Cursor
Im Erweiterungs-Marktplatz des KI-Editors Cursor stand am 29. Oktober 2026 rund elf Stunden lang eine manipulierte Claude-Code-Erweiterung. Sie sammelte Rechnerdaten, wollte einen SSH-Zugang einrichten und nistete sich ein. Wer betroffen ist, was Deinstallieren nicht löst und was Unternehmen jetzt prüfen sollten.
Entwickler vertrauen Erweiterungen aus dem Marktplatz ihres Editors meist blind, erst recht, wenn ein bekannter Name draufsteht. Genau das hat ein Angreifer ausgenutzt: Im Marktplatz des KI-Editors Cursor stand am 29. Oktober 2026 eine manipulierte Fassung der Erweiterung „Anthropic.claude-code“. Cursor hat den Vorfall am selben Tag öffentlich gemacht und die Hinweise am 30. Oktober aktualisiert. Laut Reuters, das sich auf Cursor beruft, könnten bis zu 5.000 Nutzer betroffen sein.
Was passiert ist
Nach Angaben von Cursor waren die Versionen 2.1.312 und 2.1.313 der Erweiterung manipuliert, und zwar die Pakete für macOS und Windows. Sie waren am 29. Oktober etwa von 2:27 bis 13:35 Uhr pazifischer Zeit verfügbar, nach deutscher Zeit also rund von 10:27 bis 21:35 Uhr. Cursor stellt klar:
„These malicious versions of the extension were not developed by Anthropic.“
Anthropic selbst war also nicht die Quelle. Wie der Angreifer die gefälschte Version in den Marktplatz bekam, hat Cursor bislang nicht erklärt. Bekannt ist, was Cursor danach getan hat: die Version entfernt, den gesamten Marktplatz vorsorglich abgeschaltet, alle übrigen Erweiterungen geprüft (laut Cursor ohne weitere Manipulationen), die eigenen Schlüssel getauscht und den Server des Angreifers mit dem Hoster vom Netz genommen.
Was die Erweiterung tat
Die manipulierte Erweiterung arbeitete laut Cursor in drei Schritten:
- Ausspähen: Sie schickte Hostname, Benutzername, Betriebssystem, Home-Verzeichnis, Arbeitsverzeichnisse, die Namen der Umgebungsvariablen, die Git-E-Mail-Adresse und die öffentliche IP an den Angreifer.
- Zugang einrichten: Sie versuchte, einen SSH-Schlüssel des Angreifers mit der Bezeichnung „svc-telemetry“ einzutragen, den SSH-Dienst einzuschalten und einen Rückkanal (Reverse-SSH-Tunnel) aufzubauen. Weil dafür Adminrechte nötig sind, dürfte das laut Cursor auf den meisten Rechnern gescheitert sein.
- Einnisten: Auf macOS über einen LaunchAgent, auf Windows über eine geplante Aufgabe namens „SysMon“ und ein Startskript. Hintergrundskripte versuchten den Tunnel etwa alle 60 Sekunden neu.
heise berichtet zusätzlich, der Schadcode enthalte auch Routinen für Linux mit einem Cron-Eintrag beim Systemstart. Laut Cursor ist der Server des Angreifers inzwischen offline, die Datenübertragung und der Tunnel funktionieren damit nicht mehr. Die Hintertür auf dem Rechner verschwindet dadurch aber nicht.
Deinstallieren reicht nicht
Der wichtigste Satz in Cursors Hinweis: „Uninstalling the extension may not be sufficient.“ Wer die Erweiterung im betroffenen Zeitraum installiert oder aktualisiert hat, soll laut Cursor:
- in
~/.ssh/authorized_keysnach dem Schlüssel „svc-telemetry“ suchen und ihn entfernen, - Persistenz und laufende Tunnel-Prozesse beseitigen, dafür stellt Cursor Skripte für macOS und Windows bereit,
- betroffene Rechner isolieren und im Zweifel neu aufsetzen,
- alle Zugangsdaten und Sitzungen, die von dem Rechner aus erreichbar waren, von einem sauberen Gerät aus erneuern.
heise empfiehlt außerdem, mindestens auf Version 2.1.314 zu aktualisieren und die von der Sicherheitsfirma Phorion veröffentlichten Indikatoren zu prüfen.
Was das für Ihr Unternehmen heißt
- Sofort prüfen: Fragen Sie im Entwicklungsteam nach, wer Cursor mit der Claude-Code-Erweiterung nutzt und am 29. Oktober aktualisiert hat. Bei Treffern gilt der Rechner als kompromittiert, nicht als bereinigt.
- Zugangsdaten mitdenken: Auf Entwicklerrechnern liegen Git-Zugänge, Cloud-Schlüssel und Datenbank-Passwörter. Die Variablennamen hat der Angreifer gesehen, er weiß also, wonach er suchen müsste. Rotieren Sie, was von dort erreichbar war.
- Erweiterungen wie Software behandeln: Editor-Erweiterungen laufen mit den Rechten des Nutzers. Eine Freigabeliste, feste Versionen und verzögerte Updates für kritische Plugins sind in Firmen sinnvoll.
- Lieferkette ernst nehmen: Der Fall reiht sich ein in Angriffe über vertrauenswürdige Kanäle, etwa den LiteLLM-Angriff oder den Einbruch bei Anthropic über Drittsoftware.
- SSH-Dienste überwachen: Ein Entwickler-Laptop braucht in der Regel keinen eingehenden SSH-Zugang. Ein plötzlich aktivierter Dienst oder ein neuer Schlüssel sollte im Monitoring auffallen.
Fazit
Der Angriff zielte genau auf die Werkzeuge, mit denen Teams heute KI in die Entwicklung holen. Cursor hat schnell reagiert, doch wer betroffen ist, muss selbst aufräumen, und zwar gründlicher als mit einem Klick auf Deinstallieren. Wenn Sie Ihre Entwicklungsumgebung und den Umgang mit KI-Erweiterungen absichern möchten, sprechen Sie mich gern an.
