Claude Code у Cursor: як перевірити шкідливе розширення і прибрати бекдор

Хто справді під ризиком

Офіційне повідомлення Cursor описує шкідливу версію Anthropic.claude-code 2.1.313, доступну в Cursor Extension Marketplace приблизно з 02:27 до 13:35 за тихоокеанським часом 29 жовтня 2026 року. Компанія оцінює верхню межу постраждалих у 5 000 користувачів. Microsoft у своєму технічному розборі також згадує 2.1.312, тому безпечний практичний висновок — перевірити обидві версії, якщо вони прийшли через Cursor у цей період.

За даними Microsoft, офіційний Visual Studio Marketplace і пакет @anthropic-ai/claude-code у npm не поширювали модифіковані пакети. Anthropic повідомила Microsoft, що її системи не були скомпрометовані. Це важлива межа: інцидент не означає, що будь-яка установка Claude Code заражена.

Перевірка за дві хвилини

Cursor називає найпростішим індикатором чужий ключ із коментарем svc-telemetry. На macOS відкрий Terminal і виконай офіційну команду:

grep -qs svc-telemetry ~/.ssh/authorized_keys \
  && echo "svc-telemetry key found" \
  || echo "No key found"

На Windows відкрий PowerShell і перевір два стандартні файли:

$files = "$HOME\.ssh\authorized_keys", `
  "C:\ProgramData\ssh\administrators_authorized_keys" |
  Where-Object { Test-Path $_ }

if ($files -and (Select-String svc-telemetry $files)) {
  "svc-telemetry key found"
} else {
  "No key found"
}

Відсутність цього рядка — корисний сигнал, але не універсальний сертифікат чистоти. Для робочого комп’ютера організації потрібна перевірка журналів установлення розширень, процесів SSH, startup-механізмів та мережевих індикаторів зі сторінки Cursor. Не вставляй виявлені секрети або повні журнали в публічний чат.

Якщо svc-telemetry знайдено

1. Ізолюй комп’ютер від мережі. Не продовжуй роботу з репозиторіями, хмарою та банкінгом на цій машині.
2. З довіреного пристрою відкрий офіційне повідомлення Cursor. Завантажуй remediation-скрипт лише за посиланням із нього, а не з випадкової копії чи допису.
3. Запусти скрипт за інструкцією платформи. Cursor просить запускати macOS-скрипт від постраждалого користувача, а Windows-скрипт — у PowerShell з правами адміністратора.
4. Повтори перевірку. Офіційні скрипти мають завершитися ненульовим кодом, якщо щось залишилося. У робочому середовищі збережи докази до очищення відповідно до політики команди.
5. Оціни повне перевстановлення. Для машини з production-доступами, клієнтськими даними або підтвердженим тунелем чисте відновлення може бути надійнішим за ручне прибирання.

Cursor повідомляє, що сервер атакувальника вже вимкнений і через помилки в коді віддалений SSH-доступ не спрацював на більшості macOS/Windows машин без запуску Cursor з адміністративними правами. Це зменшує ризик, але не скасовує встановлений ключ, механізми автозапуску та передані відомості про хост.

Що замінювати — і в якій черзі

Microsoft підтвердила, що в початковому звіті передавалися назви змінних середовища, а не їхні значення. Проте успішний бекдор міг дати ширший доступ. Тому ротацію роблять з довіреного пристрою після ізоляції постраждалого:

• активні сесії GitHub/GitLab, хмарних панелей і пошти;
• SSH-ключі та deploy keys, доступні користувачу;
• API-токени OpenAI, Anthropic, Google та інших сервісів;
• ключі баз даних, хостингу, пакетних реєстрів і CI/CD;
• паролі або токени, які могли бути в локальних конфігураціях чи менеджері облікових даних.

Не обмежуйся створенням нового ключа: старий потрібно відкликати, залежні сервіси — оновити, а журнали витрат і запитів — переглянути. Наш окремий гайд пояснює як зберігати API-ключі у вайб-кодинг-проєкті.

Як зменшити ризик наступного оновлення

Cursor радить ставитися до розширень як до залежностей: перевіряти видавця та ідентифікатор, обмежувати дозволені розширення й використовувати затримку автоматичного оновлення. Для команд доступні install cooldown, allowlist та перевірка підпису. Жоден із цих контролів не дає абсолютної гарантії, але кілька годин затримки могли б відокремити користувача від короткого вікна цієї атаки.

• Не запускай редактор із правами адміністратора без конкретної причини.
• Тримай production-секрети поза щоденною машиною або хоча б у профілі з мінімальними правами.
• Для AI-агента починай з read-only і окремого тестового середовища; скористайся нашою картою безпечних доступів.
• Фіксуй джерело й версію важливих розширень, щоб під час інциденту не вгадувати.

Що відомо, а що ні