قالت Cursor إن نسخة معدّلة من إضافة Claude Code التابعة لـ Anthropic ظلت متاحة في متجر إضافات VS Code لديها نحو 11 ساعة في 29 أكتوبر 2026. وكانت الحزمة المتأثرة بالإصدار 2.1.313، وربما تعرّض لها ما يصل إلى 5,000 مستخدم. ولم تُنشئ Anthropic النسخة الخبيثة أو تنشرها.
حاولت الإضافة جمع معلومات تشمل اسم الكمبيوتر واسم المستخدم ونظام التشغيل ومسار المجلد الرئيسي وبريد Git الإلكتروني وعنوان IP العام. كما حاولت إضافة مفتاح يتحكم به المهاجم إلى إعدادات SSH في الكمبيوتر، وإنشاء نفق يتيح الوصول عن بُعد بصورة مستمرة.
ما الذي كان بإمكان الإضافة فعله؟
تقول Cursor إن النفق كان سيفشل عادةً على macOS وWindows، لأن تفعيل خدمة SSH المحلية يتطلب صلاحيات المسؤول، وهي صلاحيات لا تتوافر للإضافة عادةً. واحتوى الرمز الخبيث أيضاً على أخطاء. لكن هذه القيود لا تعني أن الهجوم فشل بالكامل: إذ تقول Cursor إن الإضافة كان بإمكانها مع ذلك إرسال المعلومات التي جمعتها، وإضافة مفتاح المهاجم، وتثبيت نصوص برمجية تواصل العمل في الخلفية.
وأفادت The Register بأن شركة الأمن Phorion رصدت الحزمة المعدّلة أولاً. وقال Felix Rieseberg، الموظف التقني في Anthropic، إن الحادثة تعلقت بالوصول إلى متجر Cursor، لا باختراق أنظمة Anthropic أو أجهزة الموظفين المحمولة. وأكدت الشركة أن الإصدارات الرسمية من إضافة Anthropic لم تتأثر.
ما الذي ينبغي للمستخدمين المتأثرين فعله؟
أزالت Cursor الحزمة، وأوقفت متجرها مؤقتاً أثناء التحقيق، وفحصت الإضافات الأخرى وغيّرت مفاتيحها قبل إعادة المتجر إلى العمل. كما تعاونت مع مزوّد استضافة الخادم لحظر اتصال المهاجم. وتقول Cursor إنها لم تجد دليلاً على العبث بإضافات أخرى.
ينبغي لكل من ثبّت الإصدار 2.1.313 أو حدّث إليه من متجر Cursor خلال فترة التعرض اتباع تعليمات الأمان التي نشرتها Cursor. وتشمل التعليمات التحقق من وجود مفتاح SSH غير مصرّح به يحمل العلامة “svc-telemetry”، وإزالة أي ملفات تضمن استمرار البرمجية في العمل وعمليات الأنفاق، وتغيير بيانات الاعتماد من جهاز موثوق. وتحذّر Cursor من أن حذف الإضافة وحده قد لا يزيل النصوص البرمجية الخبيثة المنفصلة التي تعمل في الخلفية.
لم توضّح Cursor كيف وصلت الحزمة الخبيثة إلى متجرها. وتقول الشركة إن نتائجها تتعلق بهذه الحزمة تحديداً، وإنها لا تملك دليلاً على تأثر إصدارات أخرى أو التوزيعة الرسمية لـ Anthropic.
لماذا يهم
ينبغي للمطوّرين الذين ثبّتوا هذا الإصدار تحديداً من الإضافة عبر Cursor خلال فترة التعرض فحص أجهزتهم وتغيير بيانات الاعتماد التي استخدموها عليها؛ إذ قد يخلّف حذف الإضافة وحده نصوصاً برمجية خبيثة. ولم تكشف Cursor كيف وصلت الحزمة إلى متجرها، لذا لا يزال مسار دخولها مجهولاً.
