Cursor confirme une intrusion et la diffusion d’une extension Claude Code piégée

Dans un rapport publié vendredi, Cursor a confirmé qu’une intrusion avait permis de diffuser des copies malveillantes de l’extension Claude Code sur sa marketplace. Les attaquants avaient d’abord obtenu un identifiant d’accès chez Fireworks AI, fournisseur d’infrastructure utilisé par Cursor. Selon BleepingComputer (ouvre bleepingcomputer.com dans un nouvel onglet)Aller vers bleepingcomputer.com, jusqu’à 5 000 développeurs ont pu être exposés à ces versions piégées.

Des traces contenant des identifiants

L’accès compromis chez Fireworks AI a servi à copier des données depuis un espace de stockage en lecture seule que Cursor utilisait pour partager des informations avec son fournisseur. Il contenait des traces historiques d’agents de programmation, principalement recueillies en 2025 auprès d’utilisateurs qui n’avaient pas activé le mode Privacy Mode. Ces données pouvaient être utilisées pour entraîner des modèles.

Certaines traces comportaient des identifiants d’API non masqués. Les pirates s’en sont servis pour accéder à d’autres systèmes de Cursor et récupérer diverses données : des dépôts de code archivés et non destinés à la production, des échanges avec le support, des coordonnées de clients, des statistiques d’utilisation et des résumés de conversations avec des agents de programmation. Des identifiants transmis au support figuraient également parmi les informations dérobées.

Cursor estime que les traces d’agents de moins de 0,05 % de ses utilisateurs ont été exposées. Les identifiants d’API de moins de 0,01 % de ses clients auraient été compromis. L’entreprise indique que les données de code et les prompts des utilisateurs ayant activé Privacy Mode n’ont pas été touchés.

Deux versions piégées pendant environ 11 heures

Avec un identifiant permettant de publier des extensions, les attaquants ont placé les versions 2.1.312 et 2.1.313 de Claude Code dans le cache utilisé par la marketplace de Cursor. Elles y sont restées environ 11 heures avant leur retrait. Cursor précise que l’extension officielle d’Anthropic et la marketplace Open VSX n’ont pas été compromises.

Les copies modifiées exécutaient du JavaScript malveillant conçu pour installer des portes dérobées SSH persistantes. Le programme cherchait notamment à collecter des informations sur le système, à ajouter une clé SSH contrôlée par les attaquants et à maintenir leur accès. Des erreurs de programmation auraient toutefois empêché le fonctionnement de la porte dérobée sur de nombreux systèmes Windows et macOS où SSH n’était pas déjà activé, rapporte BleepingComputer.

Cursor estime que jusqu’à 5 000 personnes ayant demandé l’une des versions concernées pendant la période d’exposition ont pu recevoir une copie malveillante.

Les mesures pour les développeurs

Les développeurs qui ont installé ou mis à jour Claude Code vers l’une de ces versions pendant la période concernée doivent suivre les consignes de remédiation de Cursor.

Après avoir détecté l’activité, Cursor dit avoir révoqué la clé d’accès de Fireworks, renouvelé les identifiants exposés et temporairement désactivé certains services par précaution. L’entreprise a aussi déplacé son trafic d’inférence hors de Fireworks, reconstruit sa marketplace d’extensions et redéployé son infrastructure de production.