Ngày 29/10/2026, trong khoảng từ 2:27 đến 13:35 giờ Thái Bình Dương, chợ extension VS Code của Cursor đã phân phối một bản Anthropic.claude-code bị chỉnh sửa độc hại, đăng dưới đúng ID extension thật. Cursor khẳng định bản này "không do Anthropic phát triển"; Anthropic cho biết một kẻ xấu đã lợi dụng quyền truy cập vào chợ của Cursor để đăng nó và Anthropic không liên quan tới việc xây dựng, phát hành hay lưu trữ. Kẻ tấn công có được quyền đó bằng cách nào vẫn chưa được công bố, và chưa ai bị chỉ danh.
Phiên bản và số người bị ảnh hưởng: các báo cáo ban đầu và Help Net Security nêu bản 2.1.313; thông báo của Cursor (cập nhật 30/10) liệt kê 2.1.312 và 2.1.313 cho Windows và macOS. Cursor cho biết tối đa 5.000 người dùng bị ảnh hưởng và sẽ liên hệ trực tiếp. Bản 2.1.314 đã thay thế bản độc hại. Một số tin ban đầu nói gói này cũng xuất hiện trên Open VSX; những người khác, trong đó có Ax Sharma (Manifold Security), phản bác và cho rằng nguồn duy nhất là chợ của Cursor.
Mã độc làm gì: một đoạn loader chèn vào extension.js chạy ngay khi trình soạn thảo nạp extension, không cần người dùng thao tác. Nó gửi thông tin máy (hostname, tên người dùng, hệ điều hành, thư mục, email Git, IP công khai và tên của tối đa 40 biến môi trường giống khoá bí mật) về cho kẻ tấn công, thêm khoá SSH có nhãn svc-telemetry vào authorized_keys, cài cơ chế tự khởi động (LaunchAgent trên macOS, tác vụ lịch tên SysMon trên Windows, cron khi khởi động lại trên Linux) và cố mở đường hầm SSH ngược, thử lại khoảng mỗi 60 giây.
Cursor cho biết việc bật dịch vụ SSH cần quyền quản trị và lỗi trong mã khiến bước này thất bại trong đa số trường hợp; máy chủ của kẻ tấn công cũng đã bị gỡ xuống. Tuy vậy, các nhà nghiên cứu cảnh báo đây không phải là lớp bảo vệ thật: khoá và cơ chế tự khởi động vẫn còn, và cửa hậu sẽ hoạt động nếu SSH đã bật sẵn hoặc được bật sau này. Cursor đã tạm đóng toàn bộ chợ extension, xoay vòng khoá, dựng lại hệ thống và cho biết không có extension nào khác bị can thiệp.
