Une mise à jour malveillante de Claude Code sur Cursor

L’éditeur de code Cursor a annoncé, le 30 octobre 2026, que sa boutique d’extensions avait distribué, la veille, une fausse mise à jour de Claude Code contenant du code malveillant. Cette version, qui « n’a pas été développée par Anthropic », est restée disponible un peu plus de onze heures. Elle aurait été téléchargée par un maximum de 5 000 utilisateurs, que Cursor doit prévenir individuellement.

Les pirates avaient inséré une clé SSH dans l’extension malveillante. Elle devait leur permettre de prendre le contrôle de l’ordinateur à distance en établissant un « tunnel inverse » entre la machine ciblée et le serveur de l’attaquant. Selon Cursor, des erreurs de programmation ont empêché l’établissement de ce tunnel, « sauf dans le cas très particulier où Cursor avait été démarré avec des privilèges administrateur ». Les ordinateurs concernés ne sont néanmoins « pas sains » : ils devront faire l’objet d’un nettoyage pour éliminer les composants malveillants installés.

Cursor a supprimé cette version dès sa découverte et fermé sa boutique d’extensions le temps de vérifier qu’aucune autre n’avait été compromise. L’éditeur n’explique cependant pas comment les attaquants ont pu publier, sur sa boutique, cette mise à jour frauduleuse en usurpant l’identité d’Anthropic.