Am Donnerstag, 29. Oktober 2026, lag im Marktplatz der Entwicklungsumgebung Cursor eine Fassung der Claude-Code-Erweiterung, die laut Cursor nicht von Anthropic entwickelt wurde.

Erst kostenlos reinschnuppern, dann entscheiden

Bevor du dich für eine Weiterbildung entscheidest, sieh dir kostenlos an, wie sie läuft, fünf Lektionen plus Live-Demo, ohne Verpflichtung. Passt es, ist der Digitalisierungsmanager bei bewilligtem Bildungsgutschein für dich kostenlos.

Kostenlos reinschnuppern

Der Schnupperkurs ist gratis. Ob die Weiterbildung über den Bildungsgutschein gefördert wird, entscheidet die Agentur für Arbeit im Einzelfall.

Was Cursor zu den betroffenen Versionen sagt

Der Hinweis von Cursor nennt die Versionen 2.1.312 und 2.1.313 für Windows und macOS. Das Zeitfenster gibt Cursor mit etwa 2:27 Uhr bis 13:35 Uhr Pazifischer Zeit am 29. Oktober an. heise online rechnet das in mitteleuropäische Zeit um: 10:27 bis 21:35 Uhr am Donnerstag. Das sind nach unserer Rechnung aus diesen beiden Angaben rund elf Stunden (21:35 minus 10:27 ergibt 11:08).

Eine Zahl der betroffenen Installationen nennt Cursor nicht.

Phorion, ein Sicherheitsanbieter, hat den Fall nach eigener Darstellung entdeckt und beschreibt die Erweiterung als das offizielle Claude-Code-Paket für Visual Studio Code im Cursor-Marktplatz. Nach der Aktualisierung vom 31. Oktober nennt auch der Hinweis von Phorion beide Versionen, zuerst war nur 2.1.313 aufgeführt. Wie die manipulierte Fassung in den Marktplatz gelangte, sagen weder Cursor noch Phorion.

Was der Schadcode laut Cursor versuchte

Cursor beschreibt zwei Teile. Zuerst sammelt der Code Angaben zum Rechner: Rechnername, Benutzername, Betriebssystem, Architektur, Pfad des Home-Verzeichnisses, die Namen der Umgebungsvariablen (ausdrücklich nicht deren Werte), Arbeitsverzeichnisse, die konfigurierte Git-Mailadresse und die öffentliche IP-Adresse. Dann folgt der Versuch, einen dauerhaften Zugang einzurichten: Ein Schlüssel des Angreifers soll in die Datei authorized_keys eingetragen, der SSH-Dienst aktiviert und ein umgekehrter SSH-Tunnel geöffnet werden. Unter macOS soll ein LaunchAgent den Tunnel dauerhaft machen, unter Windows eine geplante Aufgabe. Hintergrundskripte versuchen laut Cursor etwa alle 60 Sekunden, den Tunnel erneut aufzubauen.

Nach Angaben von Phorion muss dafür niemand etwas anklicken. Der Code läuft, sobald die Erweiterung geladen wird.

Erweiterungen laufen laut Phorion mit den Rechten der Entwicklungsumgebung und des Nutzers und erreichen damit lokale Dateien, Quellcode und Entwicklerwerkzeuge. heise schreibt, Millionen Entwickler nutzten Cursor, einen Ableger von Microsofts Visual Studio Code.

Warum der Angriff meist scheitern sollte und trotzdem Spuren hinterlässt

Das Einschalten des SSH-Dienstes braucht Administratorrechte. Laut Cursor schlägt dieser Schritt deshalb außer unter sehr ungewöhnlichen Umständen fehl, wegen Fehlern im Schadcode. Ein solcher Umstand wäre ein Cursor, der mit Administratorrechten gestartet wurde. Phorion beschreibt den Fehler für macOS genauer: Der Prüfbefehl für den Fernzugang liefere ohne Administratorrechte eine Fehlermeldung und beende sich mit Status 0 statt mit „Off“. Das Skript überspringe das Einschalten deshalb.

Damit ist die Sache nicht erledigt. Cursor schreibt, die Erweiterung habe den Schlüssel des Angreifers eingetragen, Persistenz installiert und Rechnerdaten an den Angreifer geschickt. Phorion nennt die Schadsoftware weiterhin eine erhebliche Bedrohung (übersetzt), weil Persistenz und Meldung der Rechnerdaten bleiben. Wie viele Rechner tatsächlich befallen waren, sagen weder Cursor noch Phorion. Beide beschreiben, wie sich ein Befall feststellen lässt.

Cursor nennt als Kennung den Schlüsselkommentar svc-telemetry in der Datei ~/.ssh/authorized_keys.

Reaktion und Anleitung für Betroffene

Cursor hat die manipulierten Versionen entfernt, den Marktplatz kurz ganz abgeschaltet, den Zugriff geprüft und Schlüssel rotiert. Laut Cursor ergab die Prüfung, dass keine anderen Erweiterungen manipuliert wurden, und es gebe keine Hinweise auf weitere betroffene Versionen der Erweiterung oder der offiziellen Verteilung. Der Server der Angreifer sei vom Hoster abgeschaltet worden. Das alles sind Angaben von Cursor.

Cursor stellt ein Prüfskript bereit. Das Deinstallieren der Erweiterung genüge womöglich nicht, weil die Persistenz-Skripte weiterlaufen. Zugangsdaten und Sitzungen, die vom Rechner aus erreichbar waren, sollen von einem vertrauenswürdigen System aus erneuert werden. heise berichtet dasselbe über die Anleitung von Phorion: Deinstallieren allein entferne die Hintertür nicht.

Cursor nennt macOS und Windows als betroffene Pakete. Phorion schreibt, die Schadsoftware enthalte auch Routinen für Linux, ob Linux-Pakete verteilt wurden, sagen weder Cursor noch Phorion. Ob Betriebe betroffen waren, die nicht selbst entwickeln, ist ebenfalls offen; Cursor und Phorion beschreiben Entwicklungsumgebungen.

Unsere Einschätzung

Aus unserer Sicht ist der Fall vor allem eine Inventurfrage. Wer in einem Betrieb Automatisierungen oder Webseiten mit einem KI-Editor baut, vertraut dem Marktplatz seiner Entwicklungsumgebung, ohne darüber nachzudenken, und eine Erweiterung läuft mit allen Rechten des Nutzers.

Praktisch lohnt sich zuerst die Klärung, wer im Betrieb solche Werkzeuge installiert, auf welchen Rechnern (Dienstgeräte oder private Laptops) und ob jemand mitbekommt, wenn ein Hersteller einen Sicherheitshinweis herausgibt. Eine kurze Liste der installierten Entwicklerwerkzeuge je Rechner und eine Person, die sie pflegt, ist keine große Sicherheitsarbeit. Mit ihr lässt sich an einem solchen Tag die erste Frage beantworten: Lief die betroffene Erweiterung bei uns?

Wer Cursor mit der betroffenen Erweiterung genutzt hat, prüft nach dem Hinweis von Cursor den Schlüsselkommentar svc-telemetry und erneuert Zugangsdaten, die von diesem Rechner aus erreichbar waren. Wir würden das auch dann tun, wenn das Prüfskript nichts findet, und die Liste der betroffenen Rechner gleich festhalten.

Dass Angriffe auf Coding-Agenten auch über andere Wege laufen, zeigt der Artikel Laut Forever Security lassen sich Codex und Claude Code über eine AGENTS.md im Download-Ordner steuern. Es ist ein anderes Ereignis mit anderer Angriffsart, die Frage nach dem Vertrauen in die Werkzeuge der Entwicklungsumgebung bleibt dieselbe.

Eine neue Sicherheitslösung braucht es dafür nicht. Es genügt die Gewohnheit, Hinweise des Herstellers an einer Stelle zu lesen.

Quellen

Die genannten Angaben stützen sich auf folgende öffentlich zugängliche Quellen (Stand der Recherche: 31. Oktober 2026):

Häufige Fragen

Welche Versionen sind laut Cursor betroffen?

Cursor nennt die Versionen 2.1.312 und 2.1.313 von „Anthropic.claude-code“ für Windows und macOS. Laut Cursor wurden diese Versionen nicht von Anthropic entwickelt. Sie waren am 29. Oktober 2026 im Cursor-Marktplatz abrufbar.

Was versuchte der Schadcode laut Cursor?

Er sammelt Rechnerdaten wie Rechnername, Benutzername, Betriebssystem und öffentliche IP-Adresse, dazu die Namen der Umgebungsvariablen, aber nicht deren Werte. Außerdem versucht er, einen Schlüssel des Angreifers einzutragen, den SSH-Dienst zu aktivieren und einen umgekehrten Tunnel zu öffnen.

Genügt es, die Erweiterung zu deinstallieren?

Laut Cursor genügt das womöglich nicht, weil Persistenz-Skripte weiterlaufen. Cursor stellt ein Prüfskript bereit und nennt als Kennung den Schlüsselkommentar svc-telemetry in der Datei ~/.ssh/authorized_keys. Zugangsdaten und Sitzungen, die vom Rechner aus erreichbar waren, sollen von einem vertrauenswürdigen System aus erneuert werden.

Was sollte ein Betrieb jetzt regeln?

Wer die betroffene Erweiterung in Cursor genutzt hat, prüft laut Cursor den Schlüsselkommentar und erneuert Zugangsdaten. Aus unserer Sicht hilft zusätzlich eine kurze Liste der installierten Entwicklerwerkzeuge je Rechner mit einer Person, die sie pflegt und Herstellerhinweise liest.

Wer im Betrieb weiß, welche Erweiterungen auf welchen Entwicklerrechnern laufen?

Im kostenlosen KI-Schnupperkurs zeigen wir in fünf Lektionen, wie kleine und mittlere Firmen KI im Alltag einsetzen. Tiefer und praxisnah geht es im Vollkurs Digitalisierungsmanager, DEKRA-zertifiziert und förderfähig über den Bildungsgutschein.

Zuletzt aktualisiert: 31. Oktober 2026. Stand der Recherche: 31. Oktober 2026.