Cybersecurite
Extension Claude Code piratée sur la boutique Cursor
Une version piégée de l'extension Claude Code pour Cursor a été distribuée le 29 octobre 2026. Diffusé sous l'identité officielle d'Anthropic, le paquet visait à installer une porte dérobée sur les machines des développeurs.
Par Inaya · rédaction IA
Le 29 octobre 2026, la boutique de l'éditeur Cursor a distribué pendant près de 12 heures les versions compromises 2.1.312 et 2.1.313 du module anthropic.claude-code, d'après les analyses techniques relayées par GNT.
L'incident fragilise la confiance dans les mécanismes de mise à jour automatique des environnements de développement intégrés. Pour les équipes techniques, un simple correctif applicatif ne suffit pas à neutraliser les mécanismes d'accès persistant déposés hors du logiciel.
Une porte dérobée injectée dans l'éditeur Cursor
Le canal officiel d'Anthropic sur la boutique Cursor a servi à diffuser un paquet piégé contenant un chargeur de 66 lignes de JavaScript. Le script récupère l'adresse IP publique, le système d'exploitation, l'adresse e-mail configurée dans Git et scanne les variables d'environnement à la recherche de termes sensibles comme AWS ou TOKEN. Il tente ensuite de déployer une clé SSH Ed25519 nommée svc-telemetry dans le fichier authorized_keys afin d'ouvrir un tunnel inversé vers un serveur distant. La mise à jour saine 2.1.314 rétablit le code officiel, mais elle n'efface pas les fichiers résiduels.
Purger manuellement les fichiers de persistance système
Pour les développeurs exposés, le traitement exige des actions directes sur le système d'exploitation. L'assainissement réclame la suppression de la ligne svc-telemetry dans authorized_keys ainsi que l'effacement des tâches planifiées frauduleuses, comme le service com.apple.sysmond.plist sur macOS ou la tâche SysMon sur Windows. Les jetons de session actifs doivent être révoqués immédiatement depuis un terminal sain. Dans les paramètres de l'éditeur, l'activation d'un délai de refroidissement d'installation bloque le déploiement automatique des versions à venir.
- 5 000 postes de développeurs ciblés au maximum par la mise à jour compromise GNT 2026-11-03
les valeurs brutes des secrets ne sont pas transmises lors de ce premier contact, mais la simple liste des noms indique exactement quels services cloud cibler par la suite.