CursorのClaude Code拡張に不正版、SSHバックドア設置の恐れ。開発環境をどう確認するか

1. 何が起きたか

Cursorは公式のセキュリティ告知で、Anthropic.claude-code の2.1.312と2.1.313（WindowsとMacOS向け）に悪意ある改変版が出たと発表しました。配布されたのは10月29日の太平洋時間午前2時27分ごろから午後1時35分ごろまで（日本時間では29日18時27分ごろから30日5時35分ごろ）で、Anthropicが作ったものではないとしています。拡張機能は、ホスト名、ユーザー名、OS、公開IPなどを攻撃者に送り、攻撃者のSSH鍵をauthorized_keysに追加し、逆向きのSSHトンネルでの接続を試みます。WindowsとMacOSでは、再起動後も残るよう常駐の仕組みも仕込まれていました（Cursorの告知）。

Cursorは、悪意ある版を発見後すぐに市場から外して配布を止め、念のため市場を全面停止して鍵の入れ替えとアクセス権の点検をし、ほかの拡張機能に改ざんがないことを確認したと説明しています。攻撃者のサーバーも、ホスティング事業者と協力して停止させたとしています（Cursorの告知）。影響人数について、Ars Technicaは、Cursorの発表として「最大でも5,000人」と報じています。同記事によれば、独立研究者のKevin Beaumont氏は、Anthropicが数時間後に修正版2.1.314を出したと述べています。ただしCursorもAnthropicも、攻撃者が公式アカウントをどう掌握したかを説明しておらず、Anthropicは顧客への警告も出していません（Ars Technica）。

2. 影響の見方：失敗したが、安心はできない

Cursorによれば、SSHサービスを有効にするには管理者権限が要るため、多くのMacOSとWindowsでは、悪意あるコードの不具合もあって攻撃者はトンネル経由でログインできなかったとしています。一方で、攻撃者の鍵の追加、常駐の仕組みの設置、ホスト情報の送信は行われています。このためCursorは、該当しても該当しなくても、手順に従って確認と削除をするよう求め、拡張機能を削除しただけでは不十分な場合があるとしています（Cursorの告知）。Phorionも、実装の誤りでmacOSでは侵入経路が壊れる場合があるものの、常駐とホスト情報の送信は成立する以上、依然として重大な脅威だと評価しています（Phorionの解析）。

なお、影響版の範囲は情報源で食い違っています。Ars Technicaは2.1.313のみとしましたが、Cursorの告知とPhorionの更新（10月31日）は、2.1.312と2.1.313の両方を対象にしています。本稿はCursorの告知に従います。

当社の見方　今回の本質は、AIコーディングツールの拡張機能が、開発者のパソコンに常駐する「信頼された部品」になっている点にあると当社は見ています。公式アカウント名義の更新は、利用者の側から見れば本物と区別できず、PhorionのCTOは、Cursorでは拡張機能が既定で自動更新されると述べています（Ars Technica）。開発者のパソコンには、ソースコード、顧客システムへの接続情報、クラウドの鍵が集まります。ここを破られると、被害はそのパソコンにとどまらず、取引先のシステムにも及びます。外注先がAIツールを使っている会社も、使用ツールと拡張機能の管理方針を尋ねておかなければ、取引先から説明を求められたときに答えられません。

3. 中小企業がいま確認すべきこと

社内と外注先で、Cursorを使っている人とClaude Code拡張を入れた人を洗い出す（対象はmacOSとWindows）
2026年10月29日にインストールまたは更新した人がいれば、拡張機能のバージョンが2.1.312か2.1.313だったかを確認する
Cursorの告知にあるコマンドで、~/.ssh/authorized_keys に「svc-telemetry」という名前の鍵がないかを調べる（見つかれば感染とみなされる）
鍵が見つかったら、そのパソコンをネットワークから切り離し、Cursor提供の削除スクリプトを使い、そのパソコンから使えたパスワード、APIキー、クラウドの鍵を別の安全な端末から変更する
拡張機能の自動更新を止めるか、入れてよい拡張機能の一覧と更新の確認担当を決める

当社の展望

今後6か月から2年で、AIコーディングツールと、その拡張機能や接続部品（プラグイン）は、中小企業の開発と業務に当たり前に入り込むと当社は見ています。同時に、攻撃者にとっても、開発者のパソコンに常駐する部品は、公式アカウントを一つ奪えば多数に届く効率のよい入口になります。取引先が仕入れ先を選ぶ段階でも、AIを含む開発環境の管理方法を尋ねる流れが強まるでしょう。使うツールと拡張機能の一覧、自動更新の方針、鍵の保管場所を文書にしている会社は、確認の質問にその日のうちに答えられます。持っていない会社は、問い合わせの段階で比較から外されるおそれがあります。AIを使う側の守りを整える、いまが布石を打つ時期です。

この記事に関するよくあるご質問

CursorのClaude Code拡張の不正版とは何ですか。自社も対象ですか

2026年10月29日、Cursorの拡張機能市場で、Anthropic.claude-codeの2.1.312と2.1.313（WindowsとMacOS向け）に不正なコードを仕込んだ版が約11時間配布されました。この間にCursorでインストールまたは更新した人がいれば対象の可能性があります。Cursorの告知にあるコマンドで、SSH鍵に「svc-telemetry」がないか確認してください。

該当した場合、拡張機能を削除するだけで足りますか

足りない場合があります。Cursorによれば、不正な拡張機能は単独で動く常駐用のスクリプトを残すため、削除しただけでは動き続けることがあります。該当したパソコンは切り離し、Cursor提供の削除スクリプトを実行し、そのパソコンから使えた認証情報を別の安全な端末から変更してください。

参考

自社の業務で試したい場合

記事で取り上げた内容を自社の業務に当てはめた場合の進め方と費用は、お問い合わせフォームからご相談いただけます。

お問い合わせ記事一覧へ