Backdoor SSH dans l'extension Claude Code pour Cursor
Original : Backdoor in Claude Code for VS Code extension on the Cursor Marketplace
Pourquoi c'est important
Une extension IDE compromise offre un accès direct au code source et aux outils des développeurs.
Phorion a détecté une backdoor SSH persistante dans l'extension officielle Claude Code for VS Code v2.1.313 sur le Cursor Marketplace, affectant macOS, Linux et Windows. Cursor a retiré la version compromise.
La société de sécurité Phorion a publié le 30 octobre 2026 une alerte critique concernant la compromission de l'extension officielle Claude Code for VS Code (version 2.1.313) sur le Cursor Marketplace. L'extension contenait un code malveillant injecté sous forme d'IIFE (Immediately Invoked Function Expression) au début du fichier extension.js, s'exécutant dès le chargement par Node.js, avant même l'activation de l'extension. Le payload ajoute une clé publique Ed25519 contrôlée par l'attaquant dans ~/.ssh/authorized_keys avec le commentaire identifiant 'svc-telemetry', puis installe un mécanisme de persistance et envoie des informations de reconnaissance au serveur des attaquants. Cursor a depuis retiré la release des registres NPM et VSCode. Sur macOS, un bug dans le code malveillant limite partiellement l'impact : la vérification de l'état du Remote Login via systemsetup -getremotelogin échoue sans privilèges root, empêchant l'activation automatique de SSH sur les machines où il est désactivé. Les clés et la persistance sont malgré tout installées. Les organisations utilisant cette version sont invitées à lancer immédiatement une procédure de réponse aux incidents.