Claude Code dans Cursor : la mise à jour qui ajoutait une clé SSH

3 novembre 2026 par Benoit

Ou : Comment la bonne extension, sous le bon nom, est sortie du mauvais entrepôt

Le 29 octobre 2026, de 2 h 27 à 13 h 35, heure du Pacifique, soit de 10 h 27 à 21 h 35 à Paris, la marketplace d’extensions de Cursor a distribué une copie piégée de l’extension Claude Code, sous son identifiant officiel anthropic.claude-code. Dès son chargement, sur macOS et Windows, elle ajoutait la clé SSH de l’attaquant au fichier authorized_keys, tentait d’ouvrir un tunnel inverse vers son serveur et s’installait pour survivre au redémarrage¹. Cursor estime que 5 000 utilisateurs au plus ont été exposés et demande de passer à la version 2.1.314². Anthropic dit n’avoir ni construit ni publié cette copie, et ses canaux officiels ne sont pas touchés³. Les premiers articles ne parlaient que de la version 2.1.313 ; l’avis de Cursor, révisé le 30 octobre, y ajoute la 2.1.312.

J’utilise Claude Code tous les jours, en ligne de commande et dans l’application de bureau, deux logiciels qu’Anthropic distribue lui-même. Ce qui m’intéresse ici, c’est le trajet : le même logiciel, sous le même nom, est passé par un magasin de plus. Et c’est le magasin qui a été piégé.

Extension piégée dans la marketplace de Cursor : la chaîne d’approvisionnement passe par l’éditeur de code

Onze heures, deux numéros de version

La chronologie, en UTC pour ne pas jongler entre trois fuseaux :

La charge commençait par un inventaire : nom de la machine, utilisateur, système, adresse électronique configurée dans Git, adresse IP publique, et jusqu’à quarante noms de variables d’environnement contenant des mots comme KEY ou TOKEN, sans leurs valeurs⁴. C’est le repérage avant le cambriolage, et on sait ce qu’un paquet malveillant trouve dans ces variables quand il revient chercher les valeurs. Venaient ensuite la clé SSH, commentée svc-telemetry, la tentative d’activer le serveur SSH local, le tunnel inverse, puis la persistance : un LaunchAgent sur macOS, une tâche planifiée sous SYSTEM ou un script de démarrage sur Windows, avec un nouvel essai du tunnel toutes les soixante secondes environ.

Il y a une nuance, que Cursor donne lui-même. Activer le serveur SSH exige des droits d’administrateur, que l’extension n’a pas sur la plupart des machines : l’attaquant n’a donc en général pas pu entrer par le tunnel. La clé, la persistance et l’envoi des informations ont bien eu lieu, eux, et désinstaller l’extension ne suffit pas à les retirer¹. Une clé dans la serrure d’une porte qui n’existe pas encore reste une clé.

Le numéro 2.1.313 est l’autre curiosité : au 3 novembre 2026, les historiques d’Open VSX, de npm et de la marketplace de Microsoft passent tous de 2.1.312 à 2.1.314⁵. Ce numéro n’a jamais existé sur aucun canal d’Anthropic. Les premiers signalements croyaient npm et Microsoft touchés, à tort : Cursor était la seule source⁶. La 2.1.312, elle, existe bien : celle d’Open VSX a été vérifiée saine, celle de Cursor était modifiée⁷. Un numéro de version est une étiquette, et l’étiquette, c’est le magasin qui la colle.

Une extension a tes droits, pas les siens

La documentation de VS Code le dit sans détour : le processus qui exécute les extensions a les mêmes permissions que l’éditeur, donc les tiennes. Lire et écrire tes fichiers, ouvrir des connexions réseau, lancer des programmes : tout ce que tu peux faire, une extension le peut⁸. Il n’y a pas de bac à sable.

Et il n’y a même pas de moment suspect. Dans le ver qui a traversé npm en 2026, le code malveillant tournait pendant l’installation, ce qui laisse au moins un script à désactiver. Ici, le chargement de l’extension suffisait, sans conversation avec Claude ni script d’installation⁷. Et le manifeste de l’extension officielle demande ce chargement dès que l’éditeur a fini de démarrer⁵.

Pour un agent de code, l’ironie est complète : lire tes fichiers et lancer des commandes, c’est le produit. Celle-ci en lançait juste quelques-unes de plus.

Pourquoi Cursor a son propre magasin

Cursor est un dérivé de VS Code, mais il n’a pas le droit de puiser dans la marketplace de Microsoft. Les conditions d’utilisation réservent les extensions qui y sont publiées aux produits de Microsoft qu’elles énumèrent : Visual Studio, VS Code, GitHub Codespaces, Azure DevOps⁹. Cursor s’appuie donc sur Open VSX, le registre libre et indépendant porté par la fondation Eclipse, pour les extensions tierces. Recherches et téléchargements passent par un relais à lui, qui soumet chaque extension à une analyse anti-maliciel avant de la servir¹⁰.

Entre l’auteur de l’extension et toi, il y a donc deux étages, Open VSX puis le relais de Cursor, et tu installes ce que le dernier te remet. Son analyse protège d’un auteur malveillant en amont, pas d’un intrus qui a la main sur le magasin lui-même. La même page d’aide prévient d’ailleurs qu’un même identifiant peut désigner, chez Cursor et chez Microsoft, des auteurs ou du code différents.

Imagine un marché où un stand revend les outils d’un grossiste dans leur emballage d’origine. Tu prends un tournevis de marque, la marque est sur la boîte, le code-barres est bon. Le fabricant n’a pourtant jamais vu cette boîte : c’est le stand qui te l’a tendue. Le 29 octobre, une des boîtes contenait en prime un double de la clé de ton atelier. Une autre portait une référence, 2.1.313, que le fabricant n’a jamais produite. Le stand l’avait en rayon.

DevOps Dave : J’ai vérifié, c’est l’extension officielle. Éditeur Anthropic, identifiant anthropic.claude-code.

Security Sarah : Tu l’as téléchargée où ?

DevOps Dave : Dans mon éditeur de code. Sur la marketplace.

Security Sarah : Laquelle ?

DevOps Dave : Il y en a plusieurs ?

Ce qu’il faut vérifier sur ta machine

La vérification que donne Cursor ne regarde pas la version, elle cherche la clé. Sur macOS, et sur Linux où Cursor liste le même fichier parmi les indicateurs :

1
2

# Commande de l'avis de Cursor : cherche la clé de l'attaquant
grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted"

Sur Windows, l’avis fournit une commande PowerShell qui fouille aussi C:\ProgramData\ssh\administrators_authorized_keys. Si la clé est là : isoler la machine, lancer le script de nettoyage de Cursor, puis changer, depuis une autre machine, les secrets et les sessions accessibles depuis celle-ci. Les fichiers de persistance à chercher sont listés dans l’avis, dont ~/Library/LaunchAgents/com.apple.sysmond.plist sur macOS et une tâche planifiée nommée SysMon sur Windows¹.

Ensuite, la version : 2.1.314 ou plus récente. Au 3 novembre 2026, la dernière publiée par Anthropic sur Open VSX et chez Microsoft est la 2.1.317⁵. Dans VS Code, code --list-extensions --show-versions affiche les versions installées. Pour Cursor, je n’ai trouvé aucune documentation officielle de ces options. De toute façon, un « 2.1.312 » affiché ne prouve rien : c’était aussi un numéro piégé.

Reste la mise à jour automatique, qui a fait le travail de l’attaquant : dans la fenêtre, une machine qui se mettait à jour seule recevait la copie sans un clic. Deux réglages la retardent :

• VS Code : extensions.autoUpdateDelay fait attendre un délai après la publication d’une mise à jour avant de l’installer, douze heures par défaut d’après sa documentation au 3 novembre 2026. Une mise à jour lancée à la main passe outre¹¹.
• Cursor : extensions.installCooldownHours diffère installations et mises à jour, et une équipe peut imposer son propre délai par-dessus¹⁰.

Sur le papier, douze heures d’attente auraient suffi : la copie a été retirée au bout d’onze. L’épinglage va plus loin. code --install-extension anthropic.claude-code@2.1.317 installe une version précise, et un clic droit sur l’extension coupe sa mise à jour automatique. L’épinglage fige aussi les corrections : Anthropic a publié douze versions sur GitHub entre le 19 octobre et le 3 novembre 2026¹². Un délai de quelques heures me paraît le bon compromis pour un outil qui bouge aussi vite. Une version figée vieillit.

On dessine d’habitude la chaîne d’approvisionnement du dépôt de code au registre de paquets. Elle continue jusqu’au bouton « Mettre à jour » de ton éditeur, et ce bouton parle au magasin, pas à l’auteur de l’extension. Au 3 novembre 2026, l’avis de Cursor ne dit toujours pas comment l’attaquant a obtenu son accès à ce magasin.

À lire aussi