Une extension présentée comme Claude Code a été publiée avec du code malveillant dans Cursor Marketplace. Cursor indique que les versions 2.1.312 et 2.1.313 ont pu atteindre jusqu’à 5 000 utilisateurs. Le code tentait d’installer une porte dérobée SSH persistante; la réussite de l’accès distant dépendait notamment des privilèges et de la configuration de la machine.
Le périmètre est important : les sources disponibles parlent de l’extension distribuée dans Cursor Marketplace. Elles ne rapportent pas que les canaux officiels Visual Studio Marketplace, Open VSX ou npm aient été touchés.
Une extension imitatrice
L’extension reprenait le nom et l’apparence de Claude Code. Selon Cursor et Microsoft, le code malveillant tentait d’ajouter une clé SSH contrôlée par l’attaquant, d’activer le service SSH et d’établir un tunnel inverse. Cursor précise que l’activation du service nécessitait des droits administrateur et échouait généralement sur les postes concernés. Le code pouvait néanmoins écrire des éléments de persistance et transmettre des informations sur l’hôte, même si le tunnel ne fonctionnait pas.
Le nombre de 5 000 correspond à l’estimation communiquée par Cursor, pas à un décompte confirmé de machines compromises. L’installation d’une version concernée doit néanmoins être traitée comme un incident à investiguer.
Vérifier l’origine et la version
Les équipes de développement devraient vérifier l’identifiant de l’extension, son origine et sa version dans les postes concernés. Si la version 2.1.312 ou 2.1.313 provenant de Cursor Marketplace a été installée, isolez le poste du réseau dans le cadre de votre procédure d’incident et suivez les consignes de Cursor et de Microsoft.
L’analyse de Microsoft recommande de rechercher les clés SSH et mécanismes de persistance associés, puis de réinitialiser les identifiants potentiellement accessibles depuis la machine. Une réinstallation de l’éditeur seule ne suffit pas à démontrer que les éléments persistants ont disparu.
Un incident de chaîne d’approvisionnement
Les extensions d’éditeur disposent parfois d’un accès étendu aux fichiers et outils du développeur. Une publication compromise peut donc transformer une installation de confiance en point d’entrée. Les équipes peuvent réduire ce risque en autorisant les extensions nécessaires, en vérifiant leur éditeur et leur canal officiel, et en contrôlant les mises à jour inattendues.
Ces pratiques ne garantissent pas qu’une extension légitime ne sera jamais compromise. Elles rendent toutefois les installations plus visibles et facilitent une réponse ciblée lorsqu’un avis de sécurité paraît.
Ce qui est confirmé et ce qui ne l’est pas
Microsoft a publié une analyse technique de la porte dérobée et Cursor a décrit la plage de versions ainsi que la portée potentielle. Les nombres d’installations ne doivent pas être confondus avec des infections confirmées. Les éléments publics circonscrivent la diffusion à Cursor Marketplace; toute nouvelle information devrait être vérifiée auprès des éditeurs concernés.
Le lien avec Soclyde
Soclyde aide à conserver les identifiants d’équipe dans un coffre chiffré local aux appareils. Cela peut aider à organiser les accès à réexaminer après un incident, mais ne détecte pas une porte dérobée ni ne nettoie un poste compromis. Pour mieux structurer les identifiants, consultez notre guide sur le stockage local ou cloud.
À retenir
Une extension imitatrice Claude Code a diffusé une porte dérobée dans Cursor Marketplace pendant une période limitée. Vérifiez les versions installées, traitez les postes concernés selon votre procédure de réponse et changez les identifiants qui pouvaient y être accessibles. Ne généralisez pas l’incident aux autres canaux sans preuve.
