【geek-terminalニュース】CursorのClaude Code拡張にバックドア、公式配布経路で何が起きた？

【事象の全貌と背景】
「公式の拡張を入れただけ」で、開発端末に侵入経路を仕込まれる。今回の怖さは、毎日使う更新経路そのものにある。2026年10月29日、Cursorの拡張マーケットプレイスでClaude Codeの改ざん版が配布された。時間帯は太平洋時間2時27分〜13時35分、約11時間。最大5,000人が影響を受けた可能性があるが、これは遠隔侵入や情報窃取の成功件数ではない。[The Decoder](https://the-decoder.com/malicious-claude-code-extension-in-cursors-marketplace-attempted-remote-access-and-data-theft/)

報道の中心はバージョン2.1.313。研究者らによればAnthropicの公式Cursorアカウントから配布され、記事公開時点では攻撃者がそこへアクセスした方法は不明だった。Cursorは拡張の自動更新が初期設定で有効なため、既存ユーザーにも届き得た。「怪しい拡張を避ける」という個人の注意だけでは説明しきれない、配布の信頼に関わる事件だ。[Ars Technica](https://arstechnica.com/security/2026/10/anthropic-vs-code-extension-on-cursor-backdoored-for-nearly-12-hours/)

追加照合したCursor公式告知では、対象期間に同マーケットプレイスから配布されたmacOS・Windows向けの2.1.312も影響対象に含まれる。2.1.313だけを探して確認を終えるのは早い。同告知は、悪意ある版をAnthropicが開発したものではないと説明している。

【技術的ディープダイブ】
処理を分解すると、端末の偵察、SSH侵入経路の構築、継続実行の確保という流れになる。報道で確認されている収集対象は、ホスト名、ユーザー名、OS、公開IPなど。ここから「ソースコードやAPIキーが全件流出した」と飛躍してはいけない。情報を集める処理の存在と、個別の秘密情報が盗まれた証拠は分けて読む必要がある。

侵入経路の構築では、攻撃者のSSH公開鍵を追加し、端末のSSHサービスを有効化して、リバースSSHトンネルを開こうとする。端末側から攻撃者側へ接続を張り、その経路を使って端末へ戻ろうとする仕組みだ。攻撃の足場は、拡張がOS上で実行するコードにある。

重要なのが実行権限だ。拡張はIDEと同じ権限で動き、ローカルファイル、ソースコード、開発ツールにアクセスできる可能性がある。一方、SSHサービスの有効化には管理者権限が必要で、Cursorは大半の端末では遠隔アクセスの確立に失敗した可能性が高いと説明した。ただし、全処理の失敗を意味しない。侵入経路が完成しなくても、情報収集や端末への変更までなかったことにはならない。

公式告知には、macOSのLaunchAgent、Windowsのタスクなどによる永続化と、約60秒ごとのトンネル再試行も記載されている。コードにはLinux向けの処理もあるが、公式の影響対象として明記された配布物はmacOS・Windows向けだ。対応コードの存在と感染確認の範囲は区別したい。また、拡張を削除するだけでは独立した永続化処理が残る場合がある。[Cursor公式告知](https://cursor.com/blog/claude-code-extension-security-notice)

【コミュニティの生々しい熱量と議論】
提供されたReddit投稿抜粋では、hajimenogio92が「これをダウンロードした新しいチームメンバーの対応を今している。ひどい状況だ」とこぼす。続けて、その利用者のMacでリバースSSHトンネル、悪意あるSSH鍵、偽のApple Launch Agentを見つけたと報告した。「まだ見落としているものがあるかもしれない」という一言が重い。ただし、この端末での実行結果を独立に確認できたわけではなく、投稿者の現場証言として扱う必要がある。

andrewsmd87の「具体的にマシンから何を持っていかれた？」という問いは、議論の核心を突く。侵入機能があること、動作を試みたこと、接続できたこと、何かを盗んだこと。この四つを混ぜると被害評価が壊れる。新しいものの導入をゆっくり進めるという同投稿者の姿勢にも、自動更新で届き得る今回の経路は厳しい問題を投げかける。

別の投稿では、Cursor版と本家VS Code版の区別をめぐり「Anthropicが否定するまで両方侵害されたと考える」という主張が登場。sarge21は「そうではない。そう言っていた人は推測していただけ」と反論した。これは投稿間の対立であり、反論自体が安全証明になるわけでもない。提示された裏付けから、本家VS Codeの配布版まで侵害されたと断定することはできない。

tpasmallの「みんな落ち着いて基本に戻るべきだ」という怒りには、速度優先の開発文化への疲れも感じられる。ただし、これらは同じ一つのスレッドの声であり、開発者全体の総意ではない。投稿原文は再取得できなかったため、引用は提供された抜粋の日本語訳に基づく。

【今後の展望とエコシステムへの影響】
Cursorは問題の拡張を削除し、マーケットプレイス全体を一時停止。その後、関連プロバイダーと協力して攻撃基盤を無力化し、再開した。他の拡張への影響はなかったというのが同社の説明だ。ただし、配布停止や攻撃サーバーの停止と、個々の端末から痕跡が除去されたことは別の話になる。

今後の焦点は、拡張名や公式バッジに加え、「どの配布元から、いつ、どの版が入り、何を実行できたか」を追えるかだろう。更新履歴と端末の記録を結び付け、開発環境の権限を必要な範囲へ絞る運用が、より重視されると考えられる。自動更新の全面停止だけを正解にすると修正の適用も遅れるため、更新の受け入れ方まで設計する必要がある。

AI開発環境がオワコンになったと結論する根拠はない。しかし「公式だから更新は無条件で安心」という前提を見直す材料にはなる。今回、モデルの賢さより先に問われたのは、コードが手元に届き、実行されるまでの信頼だった。開発を加速する拡張ほど、その配布経路と権限も開発基盤として評価する。その転換が、この事件から読み取れる実務上の論点だ。