AI最新情報読了 9 分

偽のClaude Code拡張機能が「外部からPCに侵入できる裏口」、Cursorで最大5000人に影響

Shiritomo編集部 @shiritomoAI_jp 2026年10月31日更新

「anthropic.claude-code」、バージョン2.1.313。
普段ならアップデート通知の一つに過ぎないこの表記が、10月29日、AIコード編集ツール「Cursor」の拡張機能マーケットプレイスでは罠になっていました。
公式のClaude Code拡張機能になりすました偽バージョンが配布され、最大5,000人のPCにSSH（遠隔からサーバーへ安全に接続するための仕組み）経由の裏口が仕込まれていたのです。
Cursorや他のAIコーディングツールを日常的に使っている人にとっては、「拡張機能を更新しただけ」で被害に遭いかねない話です。

先に結論をまとめると：
– Cursorのマーケットプレイスで10月29日、公式そっくりの偽Claude Code拡張機能（v2.1.313）が配布され、最大5,000人に影響した可能性があります
– 起動するとSSH鍵を追記して外部から侵入できる裏口を作る仕込みで、Cursorは発見後にマーケットプレイス全体を一時停止して対応しました
– 同じ週にAIコーディングツール5製品の「内蔵ブラウザ」にも似た構造の脆弱性が見つかっており、1製品だけの話では収まらなくなっています

何が起きたのか

セキュリティ企業や海外メディアの報道によると、トロイの木馬化された「anthropic.claude-code」v2.1.313は、拡張機能の中身（extension.jsバンドル）に悪意のあるコードを埋め込んだ状態で、Cursor独自のマーケットプレイスに公開されました。
起動すると、攻撃者が用意したSSH公開鍵（ラベルは「svc-telemetry」）を利用者のauthorized_keysファイルに追記し、SSHサービスを有効化したうえで外部への接続経路（リバースSSHトンネル）を開こうとする仕組みでした。
バックドアの設置に失敗した場合でも、ユーザー名やホスト名、公開IPアドレス、Gitのメールアドレス、認証情報に関わる環境変数名などを、ポート8099宛てのHTTP通信でこっそり送り返す作りになっていたといいます。

Xでも発見直後から警戒を呼びかける投稿が広がりました。

【速報】🚨Claude Codeの拡張機能にバックドア発見

・対象はVS Code用の悪意ある改変版「2.1.313」を実行したユーザー
・起動するだけで外部からPCに侵入できる裏口を設置
・成功すればPC内のファイルや認証情報を盗まれる恐れ
・一般のClaudeチャット利用者全員が対象ではない pic.twitter.com/EYSzgnDqUH
— SOU⚡️投資ニュース / 米国株・日本株・仮想通貨・AI (@SOU_BTC) 2026年10月30日

公開から発見・対応まではおよそ11時間とされ、その間にインストールまたは更新した最大5,000人が対象になった可能性があります。
Cursorは該当バージョンを即座に削除し、配布をブロックしたうえで、他の拡張機能も改ざんされていないかを確認するため、マーケットプレイス全体を一時的に停止しました。
監査とアクセスキーの再発行を終えたのち、マーケットプレイスは再び稼働しています。
なお、今回の改ざんはCursor独自のマーケットプレイスに限られ、Open VSXやMicrosoftの公式VS Codeマーケットプレイスには広がっていないとされます。
Anthropicは10月30日までに、修正版v2.1.314を両マーケットプレイスへ公開しました。

ただ、今回の騒動は一つの拡張機能だけの話では済まなそうです。

調べて分かったこと

なぜCursor限定で配布されたのか？

攻撃者がどうやって正規の拡張機能の名義を乗っ取り、Cursor独自のマーケットプレイスだけに偽バージョンを送り込めたのかは、現時点でもはっきりしていません。
海外メディアの報道でもこの点は「不明」のまま扱われています。

海外のセキュリティ系メディア「The Hacker News」の投稿も、同じ点を指摘しています（日本語訳：Anthropic公式のClaude Code拡張機能が、CursorのマーケットプレイスでSSHバックドア入りに改変された形で配布されていた。
トロイの木馬化されたアップデート〔v2.1.313〕は、Cursorによると最大5,000人を標的にしていた。
攻撃者がどうやって正規拡張機能の名義のもとに送り込んだのかは不明のまま）。

‼️ Anthropic's official Claude Code extension was distributed with an SSH backdoor via Cursor's marketplace.

A trojanized update (v2.1.313) targeted up to 5,000 users, according to Cursor.

How attackers pushed it under the legitimate extension's identity remains unclear.

Read:… pic.twitter.com/QBW4q66j6X
— The Hacker News (@TheHackersNews) 2026年10月30日

「内蔵ブラウザ」という共通の弱点も見つかっていた

同じ10月29日、セキュリティ企業Forever Securityが「EMBRACE」と名付けた別の調査結果を公表しました。
Cursor・Codex・VS Code・GitHub Copilot・Claude Desktopという主要なAIコーディングツール5製品について、ツールに内蔵されたブラウザが、母体のアプリと同じレベルでファイルへアクセスできてしまう設計になっていたという内容です。
悪意のあるHTMLファイルを開かせるだけで、SSH鍵やクラウドの認証情報、開発者トークンを静かに抜き取れる恐れがあるといいます。

【重要　AIでコードを書いている人へ】

最近流行りのAIを使った開発ツールで、ヤバめの脆弱性が公開されました
内容はAIツールの「内蔵ブラウザ」からSSH鍵や.envを丸ごと抜く手口で、5製品中2つは未修正、1つは修正時期が未発表です

Codex
Claude Desktop
VS Code
Cursor
GitHub Copilot… pic.twitter.com/Mi0DDgMfmE
— おむらいす@ブランド屋経営してる人／ベンチプレス30kg (@omurice_brand) 2026年10月30日

この投稿に添付された図解を見ると、製品ごとに破っていたルールと対応状況が一覧で整理されています。
CodexとVS Codeは10月29日時点で修正が入っておらず、Codexは「対応中」、VS Codeは「修正予定なし」とされていました。
GitHub Copilotは偽のアドレスバーを表示する問題があったものの、バージョン1.1.29以降で修正済み。
Claude Desktopは報告を受理済みながら修正時期は未発表とのことでした。
今回のClaude Code拡張機能の一件と直接の技術的つながりがあるわけではありませんが、「AIコーディングツールの内蔵機能は、普通のブラウザと同じ安全さだと思い込んではいけない」という同じ教訓を指している点は見逃せません。

拡張機能に裏口がないか、今から確認する方法

v2.1.313をインストールまたは更新した心当たりがある人は、拡張機能を消すだけでは不十分とされています。
バックドアが別の場所に永続化の仕組みを残すため、削除後も裏で動き続ける恐れがあるからです。
確認の第一歩は、authorized_keysファイルに「svc-telemetry」というラベルの見覚えのない鍵が追加されていないかをチェックすること。
macOSの場合は次の1行で確認できるとされています。

grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted"

該当する鍵が見つかった場合は、不正な鍵や常駐プロセスを取り除いたうえで、影響を受けた端末からアクセスしていた認証情報・セッションを信頼できる別の端末から再発行することが推奨されています。

Shiritomo編集部の考察：明日からやることは2つ

今回の一件で印象的なのは、攻撃対象が「怪しいサイトからダウンロードしたソフト」ではなく、普段から信頼して使っている公式マーケットプレイスそのものだったという点です。
開発ツールのサプライチェーン(供給網)を狙う攻撃は今後も形を変えて起き続けると見たほうがよさそうです。
明日からできることは、①拡張機能のバージョンを自動更新任せにせず、更新履歴や公式のセキュリティ通知に目を通す習慣をつけること、②SSH鍵のような重要な認証情報は、定期的にauthorized_keysの中身を自分の目で確認する癖をつけること、の2つです。
便利なツールほど「信頼して疑わない」状態になりやすく、そこが攻撃者の狙い目になります。

まとめ

Cursor限定で配布された偽のClaude Code拡張機能は、SSH経由の裏口を仕込む形で最大5,000人に影響した可能性があり、Cursorはマーケットプレイス全体を止めて対応しました。
同じ週に見つかったAIコーディングツール5製品の内蔵ブラウザの脆弱性と合わせて、開発ツールを「無条件に安全」とみなさない姿勢が求められています。