Cursorマーケットプレイスで発覚したSSHバックドアの全貌
AI搭載コードエディター「Cursor」の公式拡張機能マーケットプレイスにて配布されていた「Claude Code」の一部バージョンに、利用者のPCへ不正アクセスを可能にするSSHバックドアが仕込まれていたことが判明しました。Cursorは2026年10月29日、公式マーケットプレイスで配布されていたClaude Codeのバージョン「2.1.312」と「2.1.313」に悪意あるコードが含まれていたと発表しました。開発者の作業環境を標的としたサプライチェーン脅威として、大きな注目を集めています。
何が起き、どの環境が影響を受けたのか
問題の拡張機能が公開されていたのは、日本時間の10月29日18時27分頃から10月30日5時35分頃までです。対象として確認されたのはmacOS版とWindows版で、Cursorは両バージョンの配布を停止しています。セキュリティ企業のPhorionが2026年10月30日に詳細な分析結果を公開したことで、攻撃の具体的な仕組みが判明しました。
攻撃者は拡張機能に含まれる「extension.js」というファイルの冒頭に悪意あるコードを追加していました。これにより、エディター上で拡張機能が読み込まれた段階で不正な処理が自動的に開始される仕組みが組み込まれていました。
攻撃の手口とバックドアの構造
拡張機能に仕込まれた不正コードは、感染した環境の情報を収集すると同時に、外部からの遠隔操作を継続的に可能にする構造を持っていました。バックドアにはPC名やユーザー名、OSの種類、公開IPアドレス、Gitに設定されたメールアドレスなどを収集して攻撃者に送信する機能が組み込まれていました。
さらに詳細な構造として、拡張機能に仕込まれた悪意あるコードはSSHを悪用し、authorized_keysに攻撃者の公開鍵を追加して不正ログインできる状態を作ろうとしていました。加えて、PCから攻撃者のサーバーへ接続する「リバースSSHトンネル」が設定され、再起動後も接続を再開するコードや永続化の仕組みが含まれていました。
一方で、実行環境における権限の制約も明らかになっています。多くのmacOSおよびWindows環境では管理者権限が不足するため、コード内のSSHサービス有効化ステップは失敗します。しかし、サービス有効化が失敗した場合であっても、SSHキーの追加やホスト情報の送信などは実行されるため、セキュリティ上の脅威が残された状態となります。
開発環境を狙うサプライチェーン攻撃の重要性
開発者が利用するコードエディターやその拡張機能は、ソースコードや認証情報、開発環境全体への広範なアクセス権限を持つことが一般的です。そのため、正規のマーケットプレイスを媒介とした悪意あるコードの配布は、個人の端末被害にとどまらず、企業内の開発ライン全体へ波及するリスクを秘めています。
また、Gitに設定されたメールアドレスや個人のホスト情報、公開IPアドレスが収集・送信されていたことから、攻撃者が収集したデータを元にさらなる標的型攻撃を計画していた可能性も推測されます。
利用者・開発者に求められる影響確認と対応
該当する公開期間（日本時間10月29日18:27頃〜10月30日5:35頃）にCursor上でClaude Codeのバージョン2.1.312または2.1.313を導入した、あるいは自動更新された可能性があるユーザーは、直ちに環境のチェックを行う必要があります。
macOSおよびWindows環境の利用者は、SSHのauthorized_keysファイルに身に覚えのない攻撃者の公開鍵が残されていないかを確認し、不審な設定を発見した場合は削除する等の対処を行ってください。また、流出した可能性のあるGit情報やネットワークアクセスに関連するセキュリティ設定の見直しも検討すべき事項となります。
未確定の点と今後の注視事項
現時点での確認情報において、どのような経緯で悪意あるコードが公式マーケットプレイスの配布パッケージに混入したのか、その侵入ルートの全容については明らかにされていません。今後、提供元によるさらなる調査結果や、マーケットプレイス全体の検証・監視プロセスの強化策が注目されます。
まとめ
Cursor公式マーケットプレイスでのClaude Code拡張機能へのSSHバックドア混入は、AI開発ツールのエコシステムにおけるセキュリティ管理の難しさを浮き彫りにしました。該当バージョン（2.1.312 / 2.1.313）を利用した可能性のあるユーザーは、SSHキー設定の確認や送信されたホスト情報の影響を考慮し、速やかなセキュリティ対策を講じることが重要です。
コメント