CursorのClaude Code拡張に裏口｜改ざん版を約11時間配布

AIコーディング用の開発環境 Cursor の開発元は、2026年10月29日（米国太平洋時間）、自社の拡張機能の配布元で、Anthropic の Claude Code 拡張の改ざんされた版が配られていたと告知しました。対象は 2.1.312 と 2.1.313 の2つの版で、Cursor によると Anthropic が作ったものではありません。10月30日（日本時間31日）には Microsoft のセキュリティ研究チームが、この改ざん版の動きを分析した報告を公式ブログに載せました。

影響を受けるのは、10月29日の日本時間18時27分から30日5時35分までの約11時間に、Cursor の配布元から2つの版を入れたか自動で更新した端末です。Cursor の告知が挙げる環境は Windows と macOS です。Visual Studio Code の公式の配布元や、Anthropic の公式の配布経路で入れた Claude Code は、Cursor と Microsoft の発表の範囲では対象に入っていません。

Cursor が10月29日に発表した改ざん版の配布

Cursor の告知の題は、日本語にすると「Claude Code 拡張に関するセキュリティのお知らせ」です。告知によると、Anthropic.claude-code という識別名の拡張の 2.1.312 と 2.1.313 が、Cursor の拡張機能マーケットプレイス（拡張を配る Cursor の配布元）から配られていました。Cursor は「この悪意のある版は Anthropic が開発したものではない」と書いています。

告知が改ざん版の動きとして挙げたのは5つです。端末と利用者の情報を集めること、攻撃者の SSH の鍵を端末に登録しようとすること、端末の SSH の機能を有効にしようとすることの3つが前半です。後半の2つは、外向きの接続で逆向きの通り道（外から端末に入るための接続）を開こうとすることと、再起動後も動き続ける設定を置くことです。通り道を開く処理は約60秒ごとにやり直す作りでした。

告知は10月29日に出され、10月30日の太平洋時間11時30分（日本時間31日3時30分）に更新されました。更新の理由は、侵害の痕跡（IOC）の一覧の更新と、影響を受ける版の明確化です。Cursor は、攻撃者のサーバーは「もう機能していない」とし、ホスティング事業者と協力して止めたと書きました。

Microsoft が10月30日に公開した分析の範囲

Microsoft の分析は、Microsoft セキュリティ研究チームの名で公式ブログに載りました。題は、日本語にすると「Claude Code を名乗る悪意のある拡張と、居座る SSH の裏口の内側」です。掲載は太平洋時間の10月30日夕方で、配信の記録では協定世界時の10月31日1時02分、日本時間では31日10時02分です。

分析によると、悪意のある版は Visual Studio Marketplace にも npm にも公開されていません。Microsoft は「すべての証拠が、この件は Cursor のマーケットプレイスに限られることを示している」と書いています。また、Anthropic から Microsoft に対し、自社のシステムは侵害されていないという説明があったと記しています。

Microsoft の分析は、改ざん版の仕組みを段階ごとに説明したうえで、自社の防御製品 Defender の検知の名前と、調べるための問い合わせの文を顧客向けに示しました。一方で、分析はすべての端末ですべての段階が成功したことを示すものではないとも書いています。端末の台数は書かれていません。攻撃者を特定の集団に結びつける記述もありません。

10月29日から31日までの経緯

経緯は、Cursor の告知と Microsoft の分析、報道の掲載時刻から組み立てられます。配布されていた時間帯は Cursor の告知が太平洋時間で示したもので、下の表では協定世界時（UTC）と日本時間に直しました。Cursor の告知そのものの掲載時刻は、告知の画面には書かれていません。

日時（UTC／日本時間）	出来事
10月29日 9時27分ごろ／18時27分ごろ	Cursor の配布元で改ざん版の配布が始まる
10月29日 20時35分ごろ／10月30日 5時35分ごろ	Cursor が改ざん版を取り下げ、配布を止める。その後、配布元全体を一時停止
10月29日（時刻の記載なし）	Cursor が告知を公開。同じ日に X で最大5,000人に影響と投稿
10月30日 9時47分／18時47分	Business Today が5,000人の数字を報道
10月30日 12時03分／21時03分	Help Net Security が記事を更新。Open VSX 版も改ざんとの見方に異論を追記
10月30日（米国時間）	BleepingComputer が報道。Cursor だけが配布元だったと記載
10月30日 18時30分／10月31日 3時30分	Cursor が告知を更新（痕跡の一覧と影響する版の明確化）
10月31日 1時02分／10時02分	Microsoft が分析を公開
10月31日 11時27分／20時27分	The Next Web が Anthropic 側の否定を報道

配布の開始から取り下げまでは約11時間です。その間、配布元は普段どおり動いていました。Cursor は取り下げの後、念のため配布元全体を止め、他の拡張に改ざんが無いことを確かめてから再開しています。再開した正確な時刻は、告知には書かれていません。

Claude Code 拡張と Cursor の配布元の関係

Claude Code は Anthropic のAIコーディングの道具で、端末の画面から使う形のほかに、Visual Studio Code 向けの拡張があります。Cursor は Visual Studio Code を元に作られた開発環境で、同じ形式の拡張を入れて使えます。今回の改ざん版は、この Visual Studio Code 向けの拡張の版番号を名乗っていました。

Cursor の利用者は、Cursor の中の拡張の画面から、Cursor が運営する配布元を通して拡張を入れます。The Next Web によると、Cursor は独自の拡張の配布元を持つ開発環境で、改ざん版はその配布元を通して届きました。同じ Claude Code 拡張でも、Visual Studio Code の利用者が使う配布元とは別の場所から配られていたことになります。

Cursor をめぐっては、Business Today によると SpaceX が8月に買収しています。The Next Web も、Cursor が最近 SpaceX に買収されたと伝えました。Cursor の X の投稿を引いた Business Today の記事では、SpaceX の他の製品は影響を受けていないとされています。

改ざん版が読み込みと同時に始めた5つの動き

Microsoft の分析によると、改ざん版には JavaScript の処理が差し込まれていて、拡張の部品が読み込まれた時点で、本来の拡張の処理より先に動きました。利用者の操作は要りません。処理は Node の機能と OS に元からある道具を使い、別の実行ファイルを外から取ってくることはしない作りでした。

動きは5種類です。1つ目は情報の収集で、OS の種類、利用者のフォルダ、Git に登録したメールアドレスなどを集めます。環境変数のうち名前に鍵や秘密を示す語を含むものを、最大40個まで数え上げます。Microsoft は、送るのは環境変数の名前で、値ではないと明記しています。

2つ目は、攻撃者の SSH の公開鍵を、利用者の SSH の許可の一覧に書き足すことです。3つ目は端末の SSH の機能を有効にしようとすること、4つ目は外向きの SSH の接続で逆向きの通り道を開こうとすることです。5つ目は、ログインや再起動のたびに通り道を張り直す自動起動の設定を書くことです。最後に、集めた情報を遅れて攻撃者の側に送ろうとします。

処理は出力を出さず、失敗しても黙って続けます。Microsoft によると、そのため失敗は利用者から見えず、拡張自体は普段どおり使えました。Claude Code の機能が正しく動いていたことは、改ざん版が入っていないことの裏付けにならない、ということになります。

OS ごとに異なる自動起動の仕組み

Microsoft の分析は、自動起動の設定を OS ごとに分けて説明しています。macOS では、利用者のログイン時に動く設定が、Apple のシステムの機能に見せかけた名前で置かれます。Linux では、再起動時に動く定期実行の設定が使われます。Windows では、最も強い権限で動く予定の作業を作ろうとし、うまくいかなければスタートアップのフォルダに起動用のファイルを置きます。

Cursor の告知が対象に挙げた OS は Windows と macOS で、Linux は入っていません。Microsoft の分析は改ざん版の中身を調べたもので、Linux 向けの処理も含まれていたことを示しています。Linux で実際に配られたか、動いたかについては、2つの発表のどちらも数字を示していません。

具体的な設定の名前、鍵、接続先は、Cursor の告知と Microsoft の分析に一覧があります。Microsoft の分析は、Defender の検知を4つの分類で示しました。実行・居座り・検知の回避・外部との通信の4つで、コード編集の道具から始まった不審な動きや、不審な SSH の鍵の追加、不審な SSH の通り道などが並びます。

影響を受ける版・期間・環境

影響の範囲は、Cursor の告知と Microsoft の分析で一致しています。版は 2.1.312 と 2.1.313 の2つで、配布元は Cursor の拡張機能マーケットプレイスだけです。時間帯は太平洋時間の10月29日2時27分ごろから13時35分ごろまでです。

項目	Cursor と Microsoft の発表の内容
拡張	Anthropic.claude-code（Claude Code の Visual Studio Code 向け拡張）
版	2.1.312 と 2.1.313（Cursor は10月30日の更新で版を明確化）
配布元	Cursor の拡張機能マーケットプレイスのみ
期間	10月29日 9時27分から20時35分ごろ（UTC）／日本時間18時27分から30日5時35分ごろ
対象の OS（基本ソフト）	Windows と macOS（Cursor の告知）。改ざん版の中には Linux 向けの処理もあった（Microsoft の分析）
対象外	Visual Studio Marketplace、npm、他の版、Anthropic の公式の配布
台数	Cursor の X の投稿では最大5,000人。Cursor の告知と Microsoft の分析には数字なし

Microsoft は、Cursor の配布元から入れた端末だけでなく、自動で更新された端末も調べる対象に挙げました。期間の後に拡張を更新した端末でも、期間中に一度 2.1.312 か 2.1.313 になっていれば、自動起動の設定や鍵は残っている可能性があります。Cursor の告知も、拡張を外すだけでは足りない場合があると書いています。

管理者の権限が無い端末で SSH の起動が止まった理由

Cursor の告知によると、端末の SSH の機能を有効にするには管理者の権限が要り、改ざん版は多くの macOS と Windows の端末でその権限を持っていないとされます。そのため、この段階は多くの端末で失敗します。Cursor は、それでも案内した削除の作業は行うよう求めています。

報道も同じ方向の説明をしています。BleepingComputer は、SSH の設定の部分に作りの誤りがあり、多くの Windows と macOS の端末で外からの接続は成り立たなかったと伝えました。Help Net Security によると、調査会社 Phorion は macOS では誤った確認の処理のために SSH が有効にならないことが多いと分析しました。同社の最高経営責任者 Calum Hall 氏は、これは本当の守りにはならないと警告しています。

Microsoft の分析は、通り道が開けなかった場合でも、改ざん版が鍵や自動起動の設定を書き込むことがあると書いています。SSH の機能が既に有効だった端末では、鍵の登録がそのまま効く可能性があります。また、SSH の処理が動いていることは、攻撃者が実際に入ったことを意味しないとも、Microsoft は書きました。

自動更新で 2.1.313 が届いた経路

Cursor の告知そのものは、自動更新がこの件に関わったかどうかを書いていません。The Next Web によると、Phorion の最高技術責任者 Luke Roberts 氏は、Cursor では拡張が標準で自動更新されると説明しました。そのため、利用者が何も操作しなくても改ざん版が届いた可能性があると報じられています。

Microsoft の分析は、調べる対象を「影響を受ける版を入れた、または自動で更新した端末」と書いており、自動更新で届いた場合を想定しています。Help Net Security が載せた Manifold Security の Ax Sharma 氏の見方も同じで、これらを入れているのは人ではなくエージェントと自動更新だと述べました。

Roberts 氏は Ars Technica に対し、改ざんされた 2.1.313 は Anthropic の公式のアカウントに掲載され、2.1.312 を置き換える形になったと話しました。Sharma 氏も、今回は見分けるべきなりすましが無く、Cursor 自身の配布元にある公式の Claude Code 拡張だったと指摘しています。名前の似た偽物を見分ける従来の注意では防げない形でした。

「最大5,000人」の数字の出どころ

影響を受けた利用者の数として報道に出ている5,000という数字は、Cursor の X の投稿に由来します。Business Today が引いた投稿の文言は「最大5,000人の利用者に影響」です。Help Net Security も、Cursor が影響は最大5,000人で、対象者に直接連絡する予定だと伝えました。

この数字は、Cursor の告知のページと Microsoft の分析のどちらにも載っていません。Microsoft は端末の台数を示していません。5,000が、改ざん版を受け取った利用者の数なのか、期間中に拡張を更新できた利用者の上限なのか、数え方は公表されていません。

Business Today の記事の本文には、Cursor が「5,000人が既に影響を受けたと認めた」という書き方もあります。これは投稿の「最大」という言葉より強い表現です。Cursor の投稿が示したのは上限で、5,000人が実際に乗っ取られたという発表ではありません。外から入られた端末が何台あるかは、どの発表にも数字がありません。

Visual Studio Marketplace と Cursor の配布元が別である理由

Visual Studio Code の拡張の大半は、Microsoft が運営する Visual Studio Marketplace で配られています。報道によると、Microsoft の利用条件は、この配布元を使える製品を Visual Studio Code などの自社の製品に限っています。Visual Studio Code を元にした他社の開発環境は、この配布元を正式には使えません。

そのため、他社の開発環境は別の配布元を使います。代表的なものが、Eclipse Foundation が運営する公開の配布元 Open VSX です。Cursor については、Open VSX を使っているという報道が過去にあり、今回の告知では自社の配布元を「Cursor の Visual Studio Code 拡張マーケットプレイス」と呼んでいます。

Microsoft の分析が Visual Studio Marketplace を対象外としたのは、この配布元の違いによるものです。同じ Anthropic の Claude Code 拡張でも、Visual Studio Code で使う場合と Cursor で使う場合とで、届く経路と、配布元の管理をしている会社が違います。今回の改ざんは Cursor の側の経路だけで起きました。

Open VSX と npm をめぐる初期の報道と発表のずれ

事件が知られた直後の報道は、影響の範囲を広く伝えていました。BleepingComputer によると、初期の報道には Open VSX、npm、Visual Studio Code の公式の配布元も影響を受けたとするものがありましたが、これは後に否定されました。BleepingComputer は、改ざん版を配っていたのは Cursor だけだったと書いています。

Help Net Security の記事は、Phorion が Open VSX で 2.1.313 を見つけたと伝えていました。その後、10月30日の東部時間8時3分の更新で、Manifold Security の Sharma 氏が Open VSX の版も改ざんされたという見方に異論を示した、と追記しています。Help Net Security は、Visual Studio Marketplace では改ざん版は報告されていないとも書きました。

その後に出た発表は、Cursor の配布元に限るという点でそろっています。Cursor は他の版や公式の配布が影響を受けた証拠は無いとし、Microsoft は Visual Studio Marketplace と npm には公開されていないと書きました。Open VSX について、Cursor と Microsoft の発表は個別には触れていません。

Anthropic の否定と、公式のアカウントへの掲載をめぐる見方

Cursor は告知で、改ざん版は Anthropic が開発したものではないと書きました。Microsoft の分析も、Anthropic から自社のシステムは侵害されていないという説明を受けたと記しています。BleepingComputer は Anthropic と Cursor に問い合わせ、回答があれば更新するとしていました。

The Next Web によると、Anthropic の技術職員 Felix Rieseberg 氏は、Anthropic のシステムや社員の端末が侵害されたのではないと述べました。同氏は、攻撃者がCursor の配布元への権限を使って改ざんした複製を公開したもので、Anthropic はそれを作っても公開してもいないと説明したと報じられています。公式の経路の版は影響を受けておらず、影響は Cursor の利用者だけだとも述べました。

一方、Phorion の Roberts 氏は、2.1.313 が Anthropic の公式のアカウントに掲載されたと話しています。誰の権限で掲載されたかについて、Anthropic 側の説明と Phorion の指摘は焦点が異なります。Cursor も Anthropic も、攻撃者がどうやって掲載の権限を得たかは説明していません。BleepingComputer も、Cursor と Anthropic のどちらのシステムが侵害されたのかは分かっていないと書きました。

現時点で分かっていないこと

11月1日の朝（日本時間）の時点で、Cursor の告知と Microsoft の分析、報道のいずれにも、次の点の答えはありません。いずれも推測では埋められない点です。

1つ目は、改ざん版が Cursor の配布元に入った経路です。Cursor は鍵を交換して配布元を作り直しましたが、どの権限が、いつ、どう使われたのかは公表していません。2つ目は、実際に外から入られた端末の数です。5,000は上限として示された数で、Microsoft は台数を書いていません。

3つ目は攻撃者が誰かで、Microsoft は特定の集団に結びつけていません。4つ目は、通り道が実際に開いた端末があったかどうかです。5つ目は、入られた端末で何が見られたかです。Microsoft の分析は、送られたのは環境変数の名前で値ではないと書いており、名前から分かる秘密情報が盗まれたことは示していません。

6つ目は、Linux の端末への影響です。改ざん版には Linux 向けの処理があったものの、Cursor の告知は対象を Windows と macOS としています。7つ目は、Open VSX で見つかったと報じられた 2.1.313 の扱いで、Cursor と Microsoft の発表はこれに個別には答えていません。

Cursor と Microsoft が利用企業に求めたこと

Cursor は、期間中に2つの版を入れたか更新したかを確かめ、端末に許可していない SSH の鍵が無いかを調べるよう求めました。The Next Web と Business Today によると、Cursor は Claude Code 拡張を 2.1.314 に更新するよう利用者に呼びかけています。この版番号は、Cursor の告知の画面には書かれていません。

改ざん版の痕跡が見つかった場合について、Cursor は端末を切り離し、許可していない鍵と自動起動の設定、通り道の処理を取り除くよう求めました。作り直すかどうかも検討するよう求め、拡張を外すだけでは足りない場合があると書いています。端末から使えた認証情報とセッションは、信頼できる別の端末から交換するよう求めました。macOS と Windows 向けの削除用のスクリプトも告知に載っています。

Microsoft は、削除の前に証拠を残すこと、痕跡のある端末を切り離すこと、鍵の受け入れや通り道の記録を見直すことを求めました。加えて、拡張を承認した発行元のものに限る設定と、新しい版を入れるまでに待つ期間を置く設定という、Cursor の強化の案内を使うよう勧めています。Microsoft は、片付けは調査の代わりにならないと書きました。具体的な作業は、Cursor の告知と Microsoft の分析に案内があります。

10月21日の LiteLLM 1.107.0 との共通点と違い

AIの開発で使われる道具の配布物が改ざんされた例は、10月に入って2件目です。10月21日には、AIのモデルを呼び出すための OSS である LiteLLM の 1.107.0 が改ざんされ、PyPI と公式の Docker のイメージで配られました。Datadog によると、改ざん版は約2時間で取り下げられています。

共通点は、利用者が普段どおり更新しただけで、公式の名前の版として改ざん版が届いたことです。名前の似た偽物を見分ける注意では防げない形でした。LiteLLM では認証情報を盗む処理が入っていたと報告され、Claude Code 拡張の改ざん版は外から入るための鍵と通り道を残そうとしました。

違いは、改ざんされた場所です。LiteLLM では開発元の公開の流れが乗っ取られたと報告されています。今回は、Anthropic は自社のシステムは侵害されていないとし、改ざん版は Cursor の配布元だけにありました。開発元の公式の配布は無事でも、間に立つ配布元で中身が差し替われば、利用者の端末には改ざん版が届くという形です。配布の時間も約2時間と約11時間で、今回の方が長く続きました。

• 2026年11月1日の朝（UTC）に、Cursor の告知（10月30日更新版）と Microsoft の分析、各報道の内容を確認して書いています。
• Cursor の告知は既に1度更新されています。影響を受ける版、台数、侵入の経路は、続報で変わる可能性があります。

まとめ

10月29日、Cursor の拡張機能の配布元で、Anthropic の Claude Code 拡張の改ざん版 2.1.312 と 2.1.313 が約11時間配られました。改ざん版は読み込みと同時に、端末の情報を集め、攻撃者の SSH の鍵を登録し、外から入る通り道と自動起動の設定を作ろうとしました。Cursor は取り下げの後に配布元全体を止め、鍵を交換して作り直しています。

Cursor と Microsoft の発表は、影響を Cursor の配布元に限るという点でそろっています。Visual Studio Marketplace、npm、Anthropic の公式の配布は対象外です。SSH の機能を有効にする段階は、管理者の権限が無い多くの端末で失敗したとされます。それでも鍵や自動起動の設定は残ることがあると、Microsoft は書いています。

改ざん版が配布元に入った経路、実際に入られた端末の数、攻撃者が誰かは、11月1日の時点で公表されていません。最大5,000人という数は Cursor の X の投稿にある上限で、被害の確定した数ではありません。Cursor は利用者に直接連絡する予定と報じられており、経路と台数は続報で示される可能性があります。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。