Cursor: false estensioni Claude Code con backdoor SSH
Estensione Claude Code per Cursor · avviso ACN BL01/261104/CSIRT-ITA del 4 novembre 2026
// In breve
Sul marketplace delle estensioni di Cursor, l'editor per sviluppatori basato su VS Code, sono state distribuite versioni malevole dell'estensione Anthropic.claude-code (2.1.312 e 2.1.313), non sviluppate da Anthropic. Sui PC Windows e macOS raccoglievano informazioni sul sistema e sull'ambiente di lavoro e tentavano di installare una backdoor SSH permanente.
Cursor ha rimosso le versioni compromesse e il server dell'attaccante risulta spento. Secondo l'ACN non ci sono prove di problemi nella distribuzione ufficiale dell'estensione né in altri pacchetti della piattaforma. Attenzione però: disinstallare l'estensione non basta, gli script lasciati sul sistema restano.
// Chi deve preoccuparsi
Aziende con sviluppatori o consulenti che usano Cursor con l'estensione Claude Code, in particolare se l'hanno installata o aggiornata il 29 ottobre 2026.
// Cosa fare, in ordine
Controlla le postazioni degli sviluppatori: cerca installazioni o aggiornamenti delle versioni 2.1.312 e 2.1.313 dell'estensione il 29 ottobre 2026 e connessioni verso l'indirizzo 134[.]209[.]82[.]225 sulle porte 22 e 8099.
Cerca la chiave SSH dell'attaccante: nei file authorized_keys, con il commento svc-telemetry: l'avviso ACN riporta i comandi di controllo per macOS e Windows.
Isola e ripulisci i PC colpiti: rimuovi chiave, tunnel SSH e meccanismi di persistenza con gli script ufficiali, valutando la reinstallazione completa del computer.
Cambia tutte le credenziali: da una postazione pulita: password, chiavi SSH, token di sessione e chiavi delle applicazioni raggiungibili da quei PC.
Riduci il rischio per il futuro: disattiva l'aggiornamento automatico delle estensioni degli editor aziendali e applica il privilegio minimo: niente editor con diritti di amministratore, chiavi di produzione e token CI/CD separati.
// Fonti ufficiali
- CSIRT Italia (ACN), bollettino BL01/261104/CSIRT-ITA: «Supply Chain Attack: distribuzione di versioni malevole dell'estensione Claude Code sul Marketplace di Cursor»
- Bollettino del produttore (cursor.com)
Questa pagina è una spiegazione divulgativa dell'avviso, aggiornata al 5 novembre 2026. In caso di differenze fanno fede la fonte ufficiale e il bollettino del produttore. Se sospetti un attacco in corso, l'ACN raccoglie le segnalazioni di incidente.
// Tag
// Altri avvisi del bollettino
n8n: due falle gravi nella piattaforma di automazione
n8n · 2 novembre 2026
Drupal Commerce: falla già sfruttata, aggiornare subito
Drupal Commerce Core · 5 novembre 2026
Router ASUS: falle nel firmware ASUSWRT, aggiornare
Router ASUS (ASUSWRT) · 4 novembre 2026
Mozilla Firefox: corretta una falla grave, versione 159.0.1
Mozilla Firefox · 4 novembre 2026