Una extensión manipulada de Claude Code llegó al marketplace de Cursor
Cursor informó de un incidente de seguridad relacionado con una versión maliciosa de la extensión Claude Code, que estuvo disponible en su marketplace de extensiones durante aproximadamente once horas de un jueves.
Según la compañía, el incidente afectó a hasta 5.000 usuarios y estuvo relacionado con una versión manipulada de la extensión que intentaba recopilar información de los equipos y establecer acceso remoto para un atacante.
La empresa aclaró que Anthropic no participó en el desarrollo de la versión maliciosa.
Tras detectar el problema, Cursor retiró la extensión y desconectó temporalmente todo su marketplace. Posteriormente, la plataforma volvió a estar disponible después de que la compañía trabajara con proveedores para neutralizar el software malicioso y confirmar que no existían riesgos adicionales.
Qué información intentaba obtener la extensión maliciosa
La versión manipulada de Claude Code contenía mecanismos destinados a recopilar determinados datos de los usuarios.
Entre la información que intentaba obtener se encontraban:
- Nombre del equipo: identificador del dispositivo utilizado.
- Nombre de usuario: nombre asociado al usuario del sistema.
- Sistema operativo: información sobre el sistema utilizado por el equipo.
- Dirección IP pública: dirección pública de conexión del usuario.
Además de recopilar estos datos, la extensión intentaba establecer un mecanismo de acceso remoto que permitiera al atacante acceder al equipo.
Sin embargo, Cursor explicó que esta capacidad probablemente no funcionaría en la mayoría de los dispositivos, ya que requiere privilegios de administrador.
La combinación de recopilación de información y acceso remoto era el componente central del comportamiento malicioso identificado en esta versión de la extensión.
Hasta 5.000 usuarios pudieron verse afectados
Cursor situó el alcance del incidente en hasta 5.000 usuarios, una cifra comunicada por la propia compañía.
La extensión manipulada permaneció disponible durante aproximadamente once horas antes de ser retirada.
Estos son los principales datos del incidente:
| Aspecto | Información comunicada |
|---|---|
| Extensión implicada | Claude Code para Cursor, en una versión manipulada |
| Plataforma afectada | Marketplace de extensiones de Cursor |
| Tiempo de disponibilidad | Aproximadamente 11 horas |
| Usuarios afectados | Hasta 5.000, según Cursor |
| Datos que intentaba recopilar | Nombre del equipo, nombre de usuario, sistema operativo e IP pública |
| Otra capacidad maliciosa | Intento de establecer acceso remoto |
| Limitación del acceso remoto | Requiere privilegios de administrador |
| Participación de Anthropic | No participó en el desarrollo de la versión manipulada |
| Otras extensiones | Cursor afirma que ninguna otra resultó afectada |
| Respuesta de Cursor | Retirada de la extensión y desconexión temporal del marketplace |
| Estado posterior | Software malicioso neutralizado y marketplace restablecido |
Cursor desconectó temporalmente todo su marketplace
Una vez descubierto el incidente, Cursor actuó sobre la extensión maliciosa y sobre la plataforma que permitía distribuirla.
La compañía tomó dos medidas iniciales: retirar la extensión manipulada y poner fuera de línea todo el marketplace de extensiones.
Posteriormente, trabajó con proveedores para neutralizar el software malicioso relacionado con el incidente.
Según la información comunicada por Cursor, el marketplace se restableció después de confirmar que el problema había quedado neutralizado y que no persistían riesgos adicionales.
La compañía también indicó que ninguna otra extensión de su marketplace resultó afectada.
Cursor en contexto
Cursor cuenta con un marketplace de extensiones de estilo Visual Studio Code (VS Code), en el que estuvo disponible la versión manipulada de Claude Code.
El incidente involucró una extensión vinculada por su nombre a Claude Code, pero Cursor aclaró que Anthropic, la compañía detrás de Claude Code, no participó en el desarrollo de esta versión maliciosa.
El problema se concentró en la extensión manipulada, y Cursor sostiene que el resto de las extensiones de su marketplace no se vieron afectadas.
El marketplace de Cursor vuelve a estar disponible
El incidente llevó a Cursor a suspender temporalmente la disponibilidad de todas las extensiones a través de su marketplace mientras abordaba el problema.
La compañía comunicó que trabajó con sus proveedores para neutralizar el software malicioso y confirmar que el riesgo había desaparecido antes de restablecer el servicio.
Con la extensión retirada y el marketplace nuevamente operativo, Cursor dio por neutralizado el incidente y reiteró que ninguna otra extensión resultó afectada.
