Cursor mağazasındaki resmî Claude Code eklentisine SSH arka kapısı yerleştirildi, 5.000'e kadar kullanıcı etkilenmiş olabilir

Cursor'a göre Claude Code eklentisinin 2.1.313 sürümü Anthropic'in doğrulanmış hesabı üzerinden yayımlandı ve kalıcı bir SSH arka kapısı kurmaya çalıştı; şirket etkiyi en fazla 5.000 kullanıcı olarak tahmin ediyor.

Ars Technica ve The Hacker News'in cuma günü yayımladığı haberlere göre, Visual Studio Code uyumlu editörler için resmî bir Claude Code eklentisi Cursor mağazasında ele geçirildi ve 5.000'e kadar geliştirici risk altına girdi. Cursor, 2.1.313 sürümünün Anthropic'in doğrulanmış hesabı üzerinden yayımlandığını ve "en fazla 5.000 kullanıcıyı" etkilediğini söyledi. Kurulumlar 29 Ekim 2026 Perşembe günü ABD Doğu saatiyle yaklaşık 05:27 ile 16:35 arasında, yani Pasifik saatiyle 02:27 ile 13:35 arasında gerçekleşti. Anthropic daha sonra 2.1.314 sürümünü yayımladı.

Ars Technica'nın aktardığına göre Cursor ve güvenlik şirketi Phorion'a göre kötü amaçlı kod, saldırganın kontrolündeki bir SSH anahtarı eklemeye, yerel SSH hizmetini etkinleştirmeye, ters tünel açmaya ve Windows, macOS ve Linux'ta kalıcılık sağlamaya çalıştı. The Hacker News, kodun ayrıca KEY, TOKEN veya SECRET gibi sözcükler içeren en fazla 40 ortam değişkeni adını (değerlerini değil) içeren makine keşif verileri gönderdiğini ve sonraki yüklerin görülmediğini bildirdi. Cursor, SSH'yi etkinleştirmenin genellikle yönetici yetkisi gerektirdiğini, ancak anahtar ekleme, kalıcılık ve veri toplamanın yine de gerçekleştiğini belirtti. Phorion ise kodlama hataları nedeniyle arka kapının bazı durumlarda çalışmadığını, yine de ciddi bir tehdit olduğunu ekledi.

Cursor, sürümün Anthropic tarafından geliştirilmediğini söyledi, onu kaldırdı, anahtarları yenilemek ve erişimleri denetlemek için mağazayı kısa süre kapattı ve diğer eklentilerin etkilenmediğini belirtti. Saldırganların resmî hesabın kontrolünü nasıl ele geçirdiği açıklanmadı; Ars Technica, Anthropic'in müşterilere kamuya açık bir duyuru yapmadığını ve iki şirketin de sorularını yanıtlamadığını bildirdi. Bu aralıkta eklentiyi Cursor üzerinden yükleyen veya güncelleyenler makineyi izole etmeli, bilinmeyen SSH anahtarını ve kalıcılık öğelerini kaldırmalı ve kimlik bilgilerini yenilemeli; Cursor'da otomatik güncelleme varsayılan olarak açık olduğundan kullanıcılar bu sürümü hiçbir şey yapmadan almış olabilir.