Besmette Claude Code-extensie in Cursor plaatste een achterdeur

Op 29 oktober 2026 kon je in de extensiewinkel van Cursor, een code-editor met ingebouwde AI, ruim elf uur lang een geknoeide versie van de Claude Code-extensie downloaden. Claude Code is de AI-programmeerhulp van Anthropic. De besmette versie 2.1.313 stond er tussen ongeveer 09:27 en 20:35 UTC, aldus Sophos. Cursor schat dat tot 5.000 gebruikers geraakt zijn.

De extensie voegde een sleutel van de aanvaller toe aan het bestand met toegelaten SSH-sleutels, schrijft Help Net Security. SSH is de beveiligde verbinding waarmee beheerders op afstand op een computer inloggen, en zo’n sleutel werkt als een extra huissleutel. Daarna probeerde de code een verbinding naar de server van de aanvaller te openen, zette ze zich vast op de computer en stuurde ze gegevens over het toestel door, zoals gebruikersnaam, e-mailadres van Git en publiek IP-adres.

Over de herkomst van die versie is Cursor duidelijk: “This malicious version of the extension was not developed by Anthropic.” Het bedrijf haalde de versie weg, zette de hele extensiewinkel tijdelijk offline, draaide sleutels om en bouwde de winkel opnieuw op. Het zegt ook dat andere extensies niet geraakt zijn en dat het samen met de hostingpartij de server van de aanvaller offline haalde.

Het doel van de code was volgens het beveiligingsbedrijf Phorion “long-term interactive access”. Op macOS en Windows mislukte het inschakelen van SSH door fouten in de code vaak. Toch blijft de achterdeur werken als inloggen op afstand al aanstond of later wordt aangezet, waarschuwt Phorion.

Sophos zegt het zo: “Uninstalling the extension leaves the backdoor in place.” Had je versie 2.1.313 in dat tijdvak, zoek dan de sleutel met het label “svc-telemetry” en verwijder ze. Ruim ook de bijhorende opstartonderdelen op en vernieuw wachtwoorden en sessies die vanaf dat toestel bereikbaar waren. Cursor publiceerde controle- en opruimcommando’s voor macOS en Windows.

Wat betekent dit voor Vlaanderen en België?

Werk je in een Belgisch bedrijf of studiebureau met Cursor? Dan kan je nagaan of versie 2.1.313 van de Claude Code-extensie op 29 oktober 2026 op je toestel stond. Een positieve vondst is een beveiligingsincident, geen extensie die je gewoon bijwerkt: ook wachtwoorden en toegangssleutels op dat toestel moeten dan vernieuwd worden.

Doe je IT-beheer, spreek dan af welke extensies ontwikkelaars mogen installeren en wie bijhoudt welke versies waar draaien. Zonder dat overzicht kan je moeilijk snel nagaan of je geraakt bent.

Deze site schrijft én controleert met modellen van Anthropic: een apart model toetst elke bewering vóór publicatie tegen de bron. Zie ons redactioneel beleid.