Cursor کے مطابق Claude Code ایکسٹینشن کا ورژن 2.1.313 Anthropic کے تصدیق شدہ اکاؤنٹ سے شائع ہوا اور اس نے مستقل SSH بیک ڈور نصب کرنے کی کوشش کی؛ کمپنی کے مطابق اثر زیادہ سے زیادہ 5,000 صارفین تک ہے۔
جمعہ کو شائع ہونے والی Ars Technica اور The Hacker News کی رپورٹس کے مطابق Visual Studio Code سے ہم آہنگ ایڈیٹرز کے لیے Claude Code کی ایک سرکاری ایکسٹینشن Cursor مارکیٹ پلیس پر ٹروجنائز کر دی گئی، جس سے 5,000 تک ڈویلپرز خطرے میں آئے۔ Cursor نے کہا کہ ورژن 2.1.313 Anthropic کے تصدیق شدہ اکاؤنٹ کے ذریعے پوسٹ ہوا اور اس سے "زیادہ سے زیادہ 5,000 صارفین" متاثر ہوئے۔ انسٹالیشنز جمعرات 29 اکتوبر 2026 کو امریکی مشرقی وقت کے مطابق تقریباً صبح 5:27 سے شام 4:35 کے درمیان ہوئیں، یعنی پیسیفک وقت میں صبح 2:27 سے دوپہر 1:35 تک۔ Anthropic نے بعد میں ورژن 2.1.314 جاری کیا۔
Ars Technica کے حوالے سے Cursor اور سکیورٹی فرم Phorion کے مطابق، مالیشیس کوڈ نے حملہ آور کے زیرِ کنٹرول SSH کلید شامل کرنے، مقامی SSH سروس فعال کرنے، ریورس ٹنل کھولنے اور Windows، macOS اور Linux پر برقرار رہنے کا انتظام کرنے کی کوشش کی۔ The Hacker News نے بتایا کہ اس نے ہوسٹ کی جاسوسی معلومات بھی بھیجیں، جن میں KEY، TOKEN یا SECRET جیسے الفاظ والے 40 تک ماحولیاتی متغیرات کے نام شامل تھے، ان کی قدریں نہیں، اور بعد کے کوئی پے لوڈ نہیں دیکھے گئے۔ Cursor نے کہا کہ SSH فعال کرنے کے لیے عموماً ایڈمن اختیارات درکار ہوتے ہیں، تاہم کلید شامل کرنا، برقرار رہنا اور ڈیٹا جمع کرنا پھر بھی ہوتا ہے۔ Phorion نے مزید کہا کہ کوڈ کی خامیوں کے باعث بعض صورتوں میں بیک ڈور کام نہ کر سکا، مگر یہ پھر بھی بڑا خطرہ تھا۔
Cursor نے کہا کہ یہ ورژن Anthropic نے نہیں بنایا تھا، اسے ہٹا دیا گیا، چابیاں تبدیل کرنے اور رسائی کے آڈٹ کے لیے مارکیٹ پلیس مختصر وقت کے لیے بند کی گئی، اور دیگر ایکسٹینشنز متاثر نہیں ہوئیں۔ حملہ آوروں نے سرکاری اکاؤنٹ کا کنٹرول کیسے حاصل کیا، یہ واضح نہیں؛ Ars Technica کے مطابق Anthropic نے صارفین کو عوامی اطلاع جاری نہیں کی اور کسی کمپنی نے اس کے سوالات کا جواب نہیں دیا۔ جس نے اس مدت میں Cursor سے ایکسٹینشن انسٹال یا اپ ڈیٹ کی، اسے مشین الگ کرنی چاہیے، نامعلوم SSH کلید اور برقرار رہنے والی اندراجات ہٹانی چاہئیں اور اسناد تبدیل کرنی چاہئیں؛ Cursor میں آٹو اپ ڈیٹ بطور طے شدہ فعال ہے، اس لیے صارفین کو بغیر کچھ کیے بھی یہ ورژن مل سکتا ہے۔
