Novedad · 2026-10-30

Copia manipulada de Claude Code en Cursor: comprueba tu equipo

El 29 de octubre el marketplace de Cursor sirvió las versiones 2.1.312 y 2.1.313 de Claude Code con una puerta trasera SSH. Cómo saber si te afecta.

Claude Code 2.1.312, 2.1.313 · Fuente: cursor.com

Qué cambia

El 29 de octubre de 2026, entre las 2:27 y las 13:35 (hora del Pacífico), el marketplace de extensiones de Cursor distribuyó copias manipuladas de la extensión anthropic.claude-code, versiones 2.1.312 y 2.1.313, para macOS y Windows. Lo confirma el aviso de seguridad de Cursor, que dice que esas copias «no fueron desarrolladas por Anthropic».

Al cargarse, el código añadido (antes de que la extensión arrancara, sin que hicieras nada):

• Agregaba una clave SSH del atacante, con la etiqueta svc-telemetry, a ~/.ssh/authorized_keys.
• Intentaba activar SSH y abrir un túnel inverso hacia el servidor 134.209.82.225.
• Se dejaba programado para volver a arrancar (LaunchAgent en macOS, tarea programada en Windows).
• Enviaba datos del equipo: nombre, usuario, sistema, correo de Git, IP pública y los nombres (no los valores) de variables de entorno tipo KEY, TOKEN o SECRET.

Lo detallan también Phorion, que lo detectó, y StepSecurity.

Lo que no pasó: algunos titulares hablan de «Anthropic hackeado». Según Cursor y Anthropic, no fue así: Anthropic declaró que no hubo intrusión en sus sistemas ni en portátiles de su personal, que alguien usó un acceso al marketplace de Cursor para publicar la copia y que sus canales oficiales no están afectados (StepSecurity recoge la declaración). El Marketplace de Visual Studio Code, Open VSX y el paquete npm de Claude Code no sirvieron la copia manipulada. Anthropic se saltó la versión 2.1.313 en su registro de cambios (pasa de 2.1.312 a 2.1.314) para evitar confusiones.

Cursor retiró las versiones, cerró y reconstruyó su marketplace, rotó sus claves y, con su proveedor, apagó el servidor del atacante. Calcula que la recibieron como mucho 5.000 usuarios y dice que los contactará.

Cómo usarlo

1. Mira si tienes la extensión y de dónde vino

Solo te afecta si la instalaste desde Cursor ese día. En la terminal:

cursor --list-extensions --show-versions | grep -i claude
code --list-extensions --show-versions | grep -i claude

Si en Cursor aparece anthropic.claude-code@2.1.312 o @2.1.313, sigue con el paso 2. En VS Code, la 2.1.312 viene del Marketplace de Microsoft y no está afectada.

2. Busca la clave del atacante

Es la prueba que da Cursor (macOS y Linux):

grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "Clave svc-telemetry encontrada" || echo "Sin clave: equipo no afectado"

En Windows (PowerShell):

$files = "$HOME\.ssh\authorized_keys", "C:\ProgramData\ssh\administrators_authorized_keys" | Where-Object { Test-Path $_ }
if ($files -and (Select-String svc-telemetry $files)) { "Clave svc-telemetry encontrada" } else { "Sin clave: equipo no afectado" }

3. Si aparece la clave

• Desinstalar la extensión no basta: el código deja scripts que siguen funcionando por su cuenta.
• Usa los scripts de limpieza del aviso de Cursor (en macOS como tu usuario, no como root; en Windows en PowerShell como administrador).
• Desde otro equipo de confianza, cambia las claves y sesiones a las que llegaba ese equipo: GitHub, CI/CD, nube, claves SSH, tokens de npm y similares.
• Revisa los registros de SSH buscando accesos con svc-telemetry desde 127.0.0.1. Si hay indicios de uso, valora reinstalar el sistema.
• Después instala la versión 2.1.314 o posterior desde una fuente oficial.

Probado en Linux con VS Code 1.136.1: la extensión 2.1.312 instalada desde el Marketplace de Microsoft no contiene 134.209.82.225 ni svc-telemetry, su extension.js no coincide con el hash publicado y la prueba del paso 2 dice «Sin clave».

¿Te afecta?

• Sí, si usas Cursor y se actualizó o instalaste Claude Code el 29 de octubre: haz los pasos 1 y 2.
• No, si usas VS Code con la extensión del Marketplace de Microsoft, Open VSX o Claude Code en la terminal (npm o instalador): según Cursor y Anthropic, esos canales no se tocaron.
• Lo que no se sabe todavía: cómo consiguió el atacante publicar en el marketplace de Cursor. Cursor no lo ha explicado.

Todas las novedades