Claude Code VS Code एक्सटेंशन में SSH बैकडोर
मूल शीर्षक: Backdoor in Claude Code for VS Code extension on the Cursor Marketplace
यह क्यों महत्वपूर्ण है
IDE एक्सटेंशन supply chain attack डेवलपर के सोर्स कोड और टूलिंग तक सीधी पहुँच देते हैं — यह एक गंभीर vector है।
Phorion ने Cursor Marketplace पर Claude Code for VS Code एक्सटेंशन (v2.1.313) में SSH बैकडोर पाया। macOS, Linux और Windows तीनों प्लेटफॉर्म प्रभावित। Cursor ने रिलीज़ हटाई, NPM और VSCode रजिस्ट्री से भी हटाया गया।
सुरक्षा फर्म Phorion ने 30 अक्टूबर 2026 को खुलासा किया कि Cursor Marketplace पर उपलब्ध Claude Code for VS Code एक्सटेंशन के संस्करण 2.1.313 में एक persistent SSH बैकडोर इंजेक्ट किया गया था। Calum Hall द्वारा लिखी गई रिपोर्ट के अनुसार, extension.js फ़ाइल में एक IIFE (Immediately Invoked Function Expression) जोड़ी गई थी जो Node.js लोड होते ही — बिना यूज़र की किसी इंटरैक्शन के — चल जाती थी।
बैकडोर सबसे पहले ~/.ssh/authorized_keys में हमलावर की Ed25519 public key जोड़ता है, जिसमें 'svc-telemetry' कमेंट लगाया गया है। इसके बाद यह SSH को सक्रिय करने की कोशिश करता है। हालाँकि macOS पर एक बग है: स्क्रिप्ट systemsetup -getremotelogin से SSH की स्थिति जाँचती है, लेकिन root अधिकार न होने पर यह कमांड 'Off' की जगह एक एरर प्रिंट करती है और status 0 से बाहर निकलती है। इस वजह से SSH enable करने का चरण छूट जाता है — जिससे macOS पर inbound SSH access काम नहीं करती, बशर्ते SSH पहले से चालू न हो।
फिर भी खतरा कम नहीं है: SSH keys और persistence मैकेनिज्म install हो जाता है, और मैलवेयर host की reconnaissance जानकारी ऑपरेटर को भेजता है। Cursor ने तुरंत कार्रवाई करते हुए v2.1.313 को अपने Marketplace, NPM और VSCode रजिस्ट्री से हटाया। संगठनों को सलाह दी गई है कि वे अपने सिस्टम में इस एक्सटेंशन के उपयोग की जाँच करें और जहाँ मिले वहाँ incident response शुरू करें।