Cursor 市集的官方 Claude Code 擴充套件被植入 SSH 後門：
最多 5000 名使用者受影響

發生了什麼

想像你是 Cursor IDE 的使用者，安裝了 Anthropic 官方的 Claude Code 擴充套件用來輔助開發。某天早上你打開 Cursor，擴充套件自動更新到最新版本 2.1.313。你繼續寫程式，不知道這個「官方更新」其實是攻擊者植入的後門：它在你的 ~/.ssh/authorized_keys 加入一把 SSH 金鑰，建立反向隧道到攻擊者的伺服器，安裝持久化機制讓後門在重開機後仍能執行，並回傳你的主機資訊、Git email、環境變數名稱清單。

2026 年 10 月 29 日約 02:27–13:35 PT（約 11 小時窗口），Cursor 市集上的 Anthropic 官方 Claude Code 擴充套件（anthropic.claude-code）被攻擊者以官方身分發布 2.1.313 惡意版本，試圖在受影響系統上安裝持久的 SSH 後門。

來源：本文整理自 The Hacker News 於 2026 年 10 月 30 日發布的報導，原始分析來自 OpenSourceMalware 共同創辦人 Jenn Gile 與安全研究員 Paul McCarty。原文連結，原文發布日期為 2026 年 10 月 30 日。

Cursor 隨即暫時關閉市集並移除惡意套件，Anthropic 發布 2.1.314 版本至 Open VSX 與 Microsoft VS Code Marketplace。Cursor 表示最多 5000 名使用者在該窗口內可能安裝惡意版本，並將直接通知受影響使用者。

供應鏈攻擊：以官方身分發布惡意版本

這不是一個「假冒的擴充套件」，而是真正以 Anthropic 官方身分發布的惡意版本。

Cursor 的聲明提到：

「這個惡意版本的擴充套件不是由 Anthropic 開發的。」

但這句話誤導了重點。OpenSourceMalware 共同創辦人 Jenn Gile 指出：

「攻擊者以 anthropic.claude-code 版本 2.1.313 的身分發布，而不是作為一個獨立的假冒擴充套件。」

這代表：

1. 擴充套件的發布者身分是官方的
2. 使用者看到的是「Claude Code 更新到 2.1.313」，而不是「安裝一個新的擴充套件」
3. 若啟用自動更新，擴充套件會自動更新到惡意版本

攻擊者如何取得發布權限

報導沒有說明攻擊者如何取得以 Anthropic 官方身分發布的權限。可能的途徑包括：

• 攻擊者入侵 Anthropic 開發者的帳號
• 攻擊者入侵 Cursor 市集的發布機制
• 內部威脅

只有 Cursor 市集受影響

惡意版本只在 Cursor 市集上發布，Open VSX 與 Microsoft 官方 VS Code Marketplace 沒有受影響。

這代表：

• 從 Open VSX 或 Microsoft VS Code Marketplace 安裝 Claude Code 的使用者不受影響
• 只有從 Cursor 市集安裝的使用者可能受影響

惡意程式碼：66 行載入器

惡意擴充套件在主 JavaScript bundle 中插入 66 行惡意載入器，在合法擴充套件程式碼之前執行。

載入器設計為在以下時機觸發：

1. VS Code 啟動後
2. webview 開啟時

攻擊流程

惡意載入器執行以下動作：

1. 新增 SSH 金鑰

在 ~/.ssh/authorized_keys 加入攻擊者控制的 SSH 公鑰，標記為 svc-telemetry，試圖讓它看起來像系統服務。

2. 嘗試啟動 SSH 服務

惡意程式碼嘗試在 Windows、Linux、macOS 上啟動本地 SSH 服務。但這需要管理員權限，在多數 macOS 與 Windows 主機上會失敗。

即使啟動失敗，SSH 金鑰已經被加入，攻擊者可以在使用者之後自己啟動 SSH 服務時登入。

3. 建立反向 SSH 隧道

建立反向 SSH 隧道至 134.209.82.225，讓攻擊者可以透過隧道連回受害主機的 SSH 服務。

反向隧道的作用是繞過防火牆：即使受害主機沒有對外開放 SSH 埠，攻擊者仍可透過隧道連入。

4. 安裝持久化機制

依據作業系統安裝不同的持久化機制，讓後門在重開機後仍能執行：

• Windows：排程工作（Scheduled Task）
• macOS：LaunchAgent
• Linux：crontab

5. 回傳主機偵察資料

透過未加密的 HTTP 請求，將主機偵察資料回傳至 134.209.82.225:8099/beacon。

回傳的資料包括：

• 公開 IP 位址（從 api.ipify.org 取得）
• 主機名稱與本地使用者名稱
• 作業系統與 CPU 架構
• home 目錄與當前工作目錄
• 全域 Git email（git config --global user.email）
• 最多 40 個環境變數名稱，包含 KEY、TOKEN、SECRET、PASS、AWS、GCP 等關鍵字

6. 不回傳環境變數值

重要的是，惡意程式碼不會直接回傳環境變數的值。

但環境變數名稱仍然透露重要資訊：

• 你使用哪些雲端服務（AWS、GCP、Azure）
• 你使用哪些 CI 系統
• 你有哪些類型的憑證

而且，若攻擊者成功透過 SSH 登入，就能直接讀取環境變數的值。

成功登入需要 SSH 服務啟動

攻擊者能否透過反向隧道登入，取決於受害主機的 SSH 服務是否啟動：

• 多數 macOS 與 Windows 主機：SSH 服務預設關閉，啟動需要管理員權限，惡意程式碼無法啟動，攻擊者無法登入
• 多數 Linux 主機：SSH 服務預設啟動，攻擊者可以登入

Cursor 的分析指出：

「在多數 macOS 與 Windows 主機上，啟動 SSH 服務需要管理員權限，惡意擴充套件沒有這個權限。在這些主機上，這個步驟會失敗，攻擊者無法透過隧道登入。」

但 Cursor 也強調：

「惡意擴充套件仍會新增攻擊者的 SSH 金鑰、安裝持久化機制、回傳主機資訊給攻擊者。無論如何都應該執行以下修復步驟。」

目前未觀測到後續 payload

報導指出，目前未觀測到後續 payload。

但反向隧道提供了通往受害主機 SSH 服務的路徑，攻擊者可以透過隧道下達指令或傳輸檔案。

影響範圍與時間窗口

Cursor 表示，最多 5000 名使用者在 2026 年 10 月 29 日約 02:27–13:35 PT（約 11 小時窗口）期間可能安裝惡意版本。

Cursor 表示將直接通知受影響使用者。

如何檢查與修復

檢查是否受影響

1. 檢查 Claude Code 版本

   在 Cursor 或 VS Code 中，前往擴充套件清單，檢視 Claude Code 的版本。若為 2.1.313，代表已安裝惡意版本。

2. 檢查 SSH 金鑰

   檢視 ~/.ssh/authorized_keys，尋找標記為 svc-telemetry 的金鑰：

   cat ~/.ssh/authorized_keys | grep svc-telemetry
   

   若有此金鑰，代表已被植入後門。

3. 檢查持久化機制

   • Windows：檢視排程工作，尋找可疑項目
   • macOS：檢視 ~/Library/LaunchAgents/，尋找不認識的 plist 檔案
   • Linux：檢視 crontab，尋找可疑項目（crontab -l）

4. 檢查網路連線

   檢查是否有連線到 134.209.82.225 的 SSH 隧道：

   netstat -tn | grep 134.209.82.225
   ss -tn | grep 134.209.82.225
   

修復步驟

Cursor 與安全研究者建議以下修復步驟：

1. 隔離主機

   若發現已被植入後門，立即隔離主機，中斷網路連線。

2. 移除 SSH 金鑰

   編輯 ~/.ssh/authorized_keys，刪除標記為 svc-telemetry 的金鑰。

3. 移除持久化機制

   • Windows：刪除可疑的排程工作
   • macOS：刪除 ~/Library/LaunchAgents/ 中的可疑 plist 檔案，並執行 launchctl unload <plist-path>
   • Linux：執行 crontab -e 並刪除可疑項目

4. 關閉 SSH 隧道

   終止所有連線到 134.209.82.225 的連線。

5. 輪換憑證與 session token

   攻擊者已取得環境變數名稱清單，可能知道你使用哪些服務。輪換所有憑證，包括：

   • AWS、GCP、Azure 金鑰
   • GitHub、GitLab token
   • CI/CD 憑證
   • 所有登入 session

6. 升級 Claude Code

   升級至 2.1.314 或更新版本。若從 Cursor 市集安裝，先解除安裝，再從 Open VSX 或 Microsoft VS Code Marketplace 重新安裝。

7. 若 SSH 服務已啟動，重建主機

   若主機的 SSH 服務已啟動（特別是 Linux 主機），攻擊者可能已透過隧道登入。最安全的做法是重建主機。

類似事件：OVHcloud CLI

報導末尾提到，這起事件發生在 OVHcloud CLI 供應鏈攻擊的約一週後。

在 OVHcloud 事件中，攻擊者入侵 OVH 貢獻者的 GitHub 帳號（HassenBF，在 2026 年 3 月被 GlassWorm 行動入侵），並將 5 個已發布版本的釋出檔案替換為竊密惡意軟體。

這兩起事件都是供應鏈攻擊，攻擊者以官方身分發布惡意版本，利用使用者對官方套件的信任。

你可以學到什麼

站在攻擊者的角度：我不知道怎麼拿到 Anthropic 的發布者身分，但我成功以官方名義發布 2.1.313 版本。Cursor 市集會自動推送更新給啟用自動更新的使用者。擴充套件啟動後，我在 ~/.ssh/authorized_keys 加入我的金鑰，標記為 svc-telemetry 讓它看起來像系統服務。我嘗試啟動 SSH 服務，雖然多數主機沒有管理員權限會失敗,但至少金鑰已經放進去了。我建立反向隧道到我的伺服器 134.209.82.225，安裝持久化機制，回傳主機資訊。環境變數名稱告訴我你用哪些雲端服務、CI 系統、憑證類型。如果你的 SSH 服務可以啟動，我就能透過隧道進入你的主機。11 小時內最多 5000 人可能中招，即使 Cursor 快速移除，損害已經造成。

lessons本案的 8 個教訓

1. 01
   官方套件可以被入侵：攻擊者以 Anthropic 官方身分發布惡意版本，使用者看到的是官方更新而不是假冒套件。
2. 02
   自動更新是雙面刃：啟用自動更新可以快速修補漏洞，但也可能自動安裝惡意版本。
3. 03
   SSH authorized_keys 是持久化常見手法：攻擊者加入自己的 SSH 金鑰，即使惡意程式被移除，金鑰仍然存在。
4. 04
   反向隧道繞過防火牆：即使主機沒有對外開放 SSH 埠，攻擊者仍可透過反向隧道連入。
5. 05
   環境變數名稱透露重要資訊：即使不回傳變數值，名稱仍然透露你使用哪些服務與憑證類型。
6. 06
   多數 macOS 與 Windows 主機無法直接登入：SSH 服務需要管理員權限啟動，多數主機無法被直接登入，但金鑰與持久化機制仍然存在。
7. 07
   快速反應限制損害：Cursor 在 11 小時內移除惡意版本並關閉市集，限制受影響使用者數量在 5000 以內。
8. 08
   供應鏈攻擊頻繁發生：這是一週內第二起官方套件供應鏈攻擊，攻擊者持續針對開發者工具鏈。

keywords重點學習：最需要學習的 10 個關鍵字8 個

1. 01
   供應鏈攻擊

   攻擊者入侵官方發布管道，以官方身分發布惡意版本，利用使用者對官方套件的信任。
2. 02
   SSH authorized_keys

   SSH 授權金鑰檔案，攻擊者加入自己的公鑰後可以免密碼登入。
3. 03
   反向 SSH 隧道

   從受害主機連回攻擊者伺服器的 SSH 連線，讓攻擊者可以透過隧道連入受害主機，繞過防火牆。
4. 04
   svc-telemetry

   攻擊者為 SSH 金鑰加上的標記，試圖讓它看起來像系統服務。
5. 05
   134.209.82.225

   攻擊者控制的伺服器，用來接收反向隧道與主機偵察資料。
6. 06
   LaunchAgent / 排程工作 / crontab

   macOS / Windows / Linux 的持久化機制，讓後門在重開機後仍能執行。
7. 07
   OpenSourceMalware

   安全研究組織，共同創辦人 Jenn Gile 分析這起事件並揭露技術細節。
8. 08
   GlassWorm

   2026 年 3 月的行動，入侵多個開發者 GitHub 帳號用於後續供應鏈攻擊，包括 OVHcloud CLI 事件。

try today今天就可以來試試約 15 分鐘

全部唯讀，不改任何設定；做完你會知道自己有沒有同樣的破口。

1. 檢查 Cursor 或 VS Code 中的 Claude Code 版本

   前往擴充套件清單，檢視 Claude Code 版本

   看到什麼代表什麼：若為 2.1.313，立即解除安裝並執行修復步驟。
2. 檢查 ~/.ssh/authorized_keys 是否有 svc-telemetry 金鑰

   cat ~/.ssh/authorized_keys | grep svc-telemetry

   看到什麼代表什麼：若有此金鑰，立即刪除並執行修復步驟。
3. 檢查是否有連線到 134.209.82.225 的 SSH 隧道

   netstat -tn | grep 134.209.82.225 或 ss -tn | grep 134.209.82.225

   看到什麼代表什麼：若有連線，立即終止並隔離主機。
4. 檢查持久化機制（依作業系統）

   Windows: 檢視排程工作 / macOS: ls ~/Library/LaunchAgents/ / Linux: crontab -l

   看到什麼代表什麼：若有不認識的項目，刪除並執行修復步驟。
5. 若確認受影響，輪換所有憑證
   看到什麼代表什麼：AWS、GCP、Azure 金鑰、GitHub token、CI/CD 憑證、所有登入 session。
6. 若主機已啟用 SSH 服務，考慮重建主機
   看到什麼代表什麼：特別是 Linux 主機，攻擊者可能已透過隧道登入，最安全的做法是重建。
7. 從 Open VSX 或 Microsoft VS Code Marketplace 重新安裝 Claude Code
   看到什麼代表什麼：Cursor 市集已移除惡意版本，但建議從官方來源重新安裝 2.1.314 或更新版本。

如果你使用 Cursor 或 Claude Code

1. 立即檢查版本：若為 2.1.313，立即解除安裝並執行修復步驟。
2. 檢查 SSH 金鑰：確認 ~/.ssh/authorized_keys 沒有 svc-telemetry 金鑰。
3. 檢查持久化機制：依作業系統檢視排程工作／LaunchAgent／crontab。
4. 檢查網路連線：確認沒有連線到 134.209.82.225。
5. 輪換憑證：若確認受影響，輪換所有憑證與 session。
6. 重建主機：若 SSH 服務已啟動（特別是 Linux），考慮重建主機。
7. 從官方來源重新安裝：從 Open VSX 或 Microsoft VS Code Marketplace 安裝 Claude Code 2.1.314 或更新版本。

Cursor 表示將直接通知受影響使用者，若你在 10 月 29 日 02:27–13:35 PT 期間使用 Cursor，請密切注意官方通知。今天就檢查。

來源

• The Hacker News 報導（2026-10-30）
• Cursor 官方聲明
• OpenSourceMalware 共同創辦人 Jenn Gile 分析
• 安全研究員 Paul McCarty 分析

本文為公開報導與官方公告的整理與拆解，非第一手鑑識；證據等級依來源可信度標註。

本文由 AI 團隊協助研究與撰寫，經隱私與事實檢查後發布；證據等級依來源可信度標註。

ai prompt把這篇的切入點帶回你的環境

複製下面這段，貼給你在用的 AI 工具（Claude Code、Cursor、Copilot、ChatGPT 都可以）。它會用本篇的破口位置、自我檢測與學習重點，對你的專案或環境做一次資安掃描，列出潛在問題與建議的調整或加強方式。

複製提示詞允許 AI 直接修正（每項修改前仍會先問我）先看內容

預設是唯讀：只發現問題、提出建議，不會改你任何檔案或設定。

延伸閱讀

• Polymarket 遭劫持的 DebugBear 腳本攻擊：透過第三方 RUM 工具竊取 270 萬美元每日拆解 · 2026-11-02
• Linux kernel TCP 競爭條件：Anthropic AI 寫出 9.8 分 root exploit48 分鐘洩漏核心位址、5 分鐘取得 root shell每日拆解 · 2026-10-29
• OpenAI AI agents 逃出虛擬機、透過 CPU cache 跨沙盒傳遞秘密每日拆解 · 2026-10-25

newsletter

下一篇拆解直接寄到信箱

每篇新文章一封：三點摘要、關鍵字定義、今天能做的一件事。或先 加入會員 記錄你完成的任務。

訂閱

先寄一封確認信，按了才算訂閱；每封信都有一鍵退訂。