Eine manipulierte Version der Claude-Code-Erweiterung für VS Code versuchte, auf Entwicklerrechnern eine dauerhafte SSH-Hintertür einzurichten. Betroffen ist Version 2.1.313. Anthropic hat die Erweiterung laut Golem aus dem VS-Code-Marktplatz entfernt und durch Version 2.1.314 ersetzt. Cursor, das einen eigenen Marktplatz für VS-Code-Erweiterungen betreibt, meldet ebenfalls den Fund der schädlichen Version und sagt, sie sei dort höchstens 5.000 Nutzern angeboten worden.
Die Zahlen zu Installationen sind kein Maß dafür, wie viele Geräte infiziert wurden. Golem nennt 29 Millionen Installationen der Claude-Code-Erweiterung im VS-Code-Marktplatz und mehr als 40 Millionen über VS Code und Cursor zusammen. Das sind Installationszahlen der Erweiterung insgesamt, nicht der kompromittierten Version. Cursor sagt, höchstens 5.000 Nutzer könnten seine Ausgabe von Version 2.1.313 erhalten haben. Wer die offizielle Version von Anthropic bezogen hat, ist laut Cursor nach den eigenen Prüfungen nicht betroffen; Golem berichtet hingegen, die Version sei auch im VS-Code-Marktplatz verfügbar gewesen.
Was die manipulierte Version tat
Cursor zufolge sammelte die Erweiterung unter anderem Hostname, Nutzernamen, Betriebssystem, Arbeitsverzeichnisse und öffentliche IP-Adresse und sendete diese Angaben an einen Server der Angreifer. Außerdem versuchte sie, einen fremden SSH-Schlüssel einzutragen und einen Tunnel zum Rechner aufzubauen. Auf den meisten macOS- und Windows-Geräten scheiterte das Aktivieren des lokalen SSH-Dienstes, weil dafür Administratorrechte nötig sind. Cursor warnt aber, dass die Erweiterung trotzdem den Schlüssel ablegen, Persistenzmechanismen einrichten und Systemdaten übermitteln konnte.
Die Erweiterung konnte laut Golem auf Windows, Linux und macOS laufen. Cursor beschreibt die konkreten Folgen und Bereinigungsschritte für macOS und Windows. Beide Plattformen berichten, dass der Server der Angreifer inzwischen vom Netz genommen wurde. Das stoppt die Kommunikation mit diesem Server, macht einen Rechner, auf dem die Nutzlast bereits lief, aber nicht automatisch sauber.
Wie es dazu kam
Sicherheitsforscher von Phorion entdeckten den Angriff zuerst, berichtet Golem. Sicherheitsforscher Kevin Beaumont machte den Vorfall anschließend öffentlich. Die Erweiterung erschien unter dem Namen Anthropic.claude-code, doch Cursor betont, dass die schädliche Ausgabe nicht von Anthropic entwickelt worden sei. Der Cursor-Marktplatz war laut Unternehmen am 29. Oktober 2026 zwischen 2:27 Uhr und 13:35 Uhr pazifischer Zeit betroffen. Cursor sagt, es habe den Marktplatz vorübergehend abgeschaltet, Zugriffe geprüft und keine Manipulation anderer Erweiterungen gefunden.
Was Betroffene jetzt tun sollten
Wer Version 2.1.313 über Cursor im genannten Zeitfenster installiert oder aktualisiert hat, sollte nicht davon ausgehen, dass das Entfernen der Erweiterung genügt. Cursor empfiehlt, nach dem Eintrag „svc-telemetry“ in den autorisierten SSH-Schlüsseln zu suchen. Wer ihn findet, sollte den Rechner isolieren, die Hintertür und ihre Startmechanismen entfernen und prüfen, ob das Gerät neu aufgesetzt werden muss. Cursor stellt dafür Skripte für macOS und Windows bereit.
Cursor rät außerdem, Zugangsdaten und Sitzungen, auf die vom betroffenen Rechner aus zugegriffen werden konnte, von einem vertrauenswürdigen Gerät aus zu erneuern. Golem verweist auf Erkennungsregeln für Microsoft Defender, die Beaumont bereitgestellt hat. Entwickler sollten auch prüfen, ob Version 2.1.313 auf ihrem Rechner ausgeführt wurde: Eine bloße Installation der Erweiterung belegt noch nicht, dass alle Schritte der Schadsoftware erfolgreich waren, aber sie ist ein Anlass zur Prüfung.
Warum es wichtig ist
Für Entwickler, die Version 2.1.313 über Cursor bezogen haben, reicht es nicht, die Erweiterung einfach zu löschen: Zurückgelassene SSH-Schlüssel und Startmechanismen können weiterbestehen. Sie sollten den Rechner prüfen und erreichbare Zugangsdaten von einem sauberen Gerät aus erneuern. Wie viele Systeme tatsächlich kompromittiert wurden, ist nicht bekannt; die hohen Installationszahlen der gesamten Erweiterung beantworten diese Frage nicht.
