Il 29 ottobre 2026 Cursor ha confermato che la versione 2.1.313 dell’estensione Claude Code distribuita nel suo marketplace era stata modificata da un attaccante: raccoglieva dati del computer, aggiungeva una chiave SSH estranea agli accessi autorizzati e provava ad aprire un tunnel verso un server esterno. È rimasta scaricabile per circa 11 ore, fino a un massimo di 5.000 utenti. Se usi Cursor, il controllo richiede un minuto: lo trovi qui sotto.
In breve
- Cosa: una versione manomessa di Anthropic.claude-code, la 2.1.313, nel marketplace delle estensioni di Cursor. Cursor precisa che non è stata sviluppata da Anthropic (avviso ufficiale di Cursor, 29 ottobre 2026).
- Quando: fra le 2:27 e le 13:35 ora del Pacifico del 29 ottobre, cioè circa dalle 10:27 alle 21:35 ora italiana.
- Chi: chi ha installato o aggiornato l’estensione da Cursor in quella finestra. Al massimo 5.000 utenti, che Cursor dice di contattare uno per uno.
- Cosa fare adesso: cercare la chiave «svc-telemetry» nel file degli accessi SSH, togliere ciò che l’attacco lascia sul disco e ruotare le credenziali raggiungibili da quel computer.
I numeri dell’incidente, in una riga ciascuno
- 1 versione coinvolta: la 2.1.313. Cursor dice di non avere prove su altre versioni.
- Circa 11 ore di esposizione: dalle 2:27 alle 13:35 ora del Pacifico del 29 ottobre 2026.
- Al massimo 5.000 utenti coinvolti, secondo Cursor.
- Ogni 60 s circa gli script lasciati dall’attacco ritentano il tunnel.
- 2 porte usate verso il server 134.209.82.225: la 22 per il tunnel SSH e la 8099 per l’invio dei dati.
- Meno di 5 min per fare tutti i controlli su un Mac: li ho cronometrati sul mio.
Cosa faceva l’estensione Claude Code malevola su Cursor
Secondo l’avviso di Cursor, il codice aggiunto alla versione 2.1.313 faceva quattro cose:
- Raccoglieva informazioni sul computer: nome della macchina e dell’utente, sistema operativo, cartella home, nomi delle variabili d’ambiente, cartelle di lavoro, l’email configurata in Git e l’indirizzo IP pubblico.
- Aggiungeva una chiave SSH dell’attaccante al file
authorized_keysnella cartella.sshdella tua home, con l’etichettasvc-telemetry. - Provava ad accendere il servizio SSH e ad aprire un tunnel inverso verso il server 134.209.82.225, per poter entrare nel computer dall’esterno.
- Si rendeva persistente: su macOS con un LaunchAgent travestito da servizio Apple (
com.apple.sysmond), su Windows con un’attività pianificata chiamata «SysMon» che gira come SYSTEM.
Cursor scrive che, per errori nel codice malevolo, l’accensione di SSH sarebbe fallita salvo che Cursor fosse stato avviato con privilegi di amministratore, e che il server dell’attaccante è stato spento con il fornitore di hosting. Ma aggiunge una frase che conta: l’estensione aggiunge comunque la chiave, installa la persistenza e manda i dati del computer all’attaccante. Quindi i passi di pulizia vanno fatti in ogni caso.
Come controllo se il mio computer è stato colpito?
Il controllo indicato da Cursor per macOS è una riga sola nel Terminale:
grep -qs svc-telemetry "$HOME/.ssh/authorized_keys" && echo "chiave trovata" || echo "nessuna chiave"Su Windows, in PowerShell:
$files = "$HOME\.ssh\authorized_keys", "C:\ProgramData\ssh\administrators_authorized_keys" | Where-Object { Test-Path $_ }; if ($files -and (Select-String svc-telemetry $files)) { "chiave trovata" } else { "nessuna chiave" }Per un controllo più completo, questi sono i segni lasciati dall’attacco secondo l’avviso:
| Dove guardare | macOS | Windows |
|---|---|---|
| Chiave SSH estranea | authorized_keys nella cartella .ssh della home, con «svc-telemetry» | lo stesso file nella cartella .ssh del profilo utente |
| Avvio automatico | com.apple.sysmond.plist in Libreria, LaunchAgents | attività pianificata «SysMon», oppure sysmon.cmd in Esecuzione automatica |
| File nascosti | .smt e .smtk nella cartella .config della home | smt.cmd e smtk nella cartella .config del profilo |
| Rete | connessioni verso 134.209.82.225, porta 22 o 8099 | stesse connessioni |
Un dettaglio per non allarmarsi a vuoto: le chiamate a ifconfig.me o api.ipify.org sono servizi legittimi per leggere il proprio IP, e Cursor precisa che da sole non sono un segno di compromissione.
Ho trovato la chiave: cosa faccio adesso?
Se il controllo trova «svc-telemetry», il computer è coinvolto. I passi raccomandati da Cursor, in ordine:
- Isola il computer dalla rete aziendale finché non è pulito.
- Esegui lo script di pulizia ufficiale collegato dall’avviso:
remediate-macos.shda lanciare come utente normale, non come root, oppureremediate-windows.ps1da PowerShell come amministratore. Gli script tolgono estensione, persistenza, tunnel e chiave, ed escono con errore se resta qualcosa. - Non basta disinstallare l’estensione: l’attacco lascia script che continuano a girare da soli. Valuta se reinstallare la macchina.
- Ruota credenziali e sessioni raggiungibili da quel computer, partendo da un dispositivo pulito: chiavi SSH, token di GitHub e dei servizi cloud, chiavi API nei file
.env, sessioni del browser. Cursor avverte che la raccolta limitata delle variabili d’ambiente non esclude un accesso successivo alle credenziali attraverso la backdoor.
Se il controllo non trova nulla e non hai installato o aggiornato l’estensione da Cursor il 29 ottobre, secondo l’avviso non sei fra gli utenti coinvolti.
Riguarda anche chi usa Claude Code dal terminale o in VS Code?
L’avviso di Cursor nomina solo il proprio marketplace e dice di non avere prove che altre versioni dell’estensione o la distribuzione ufficiale siano coinvolte. Alcune ricostruzioni di terzi parlano anche del registro Open VSX, ma le date e il perimetro non coincidono con l’avviso, quindi le tratto come non confermate (Cyberpress, 30 ottobre 2026). Il controllo della chiave SSH costa un minuto: se hai un dubbio, fallo comunque.
Cosa ho fatto io stamattina sul mio Mac
Uso Claude Code ogni giorno, dal terminale e dentro un editor, per far girare il sistema di agenti con cui lavoro. Il 30 ottobre, letto l’avviso, ho fatto io i controlli sul mio Mac e ho misurato il tempo: 3 file di persistenza cercati, 0 trovati; la chiave «svc-telemetry» negli accessi SSH non c’è; la cartella delle estensioni di Cursor non esiste, perché Cursor non l’ho installato. In tutto meno di 5 min.
Nel mio lavoro ho imparato una cosa, anche sbagliando: un assistente di codice gira con i miei permessi. Legge le mie cartelle, le mie chiavi, il mio ambiente, e un aggiornamento manomesso eredita tutto questo senza chiedere niente. Per lo stesso motivo, 2 giorni fa ho scritto di come un file AGENTS.md nella cartella Download può guidare Claude Code: la porta d’ingresso cambia, il punto è lo stesso.
Le regole pratiche per chi usa agenti di codice ogni giorno
- Verifica l’editore di ogni estensione prima di installarla: nome esatto, pubblicatore verificato, numero di download, data dell’ultimo aggiornamento. Una data troppo recente su un’estensione famosa è un motivo per guardare meglio, non per fidarsi.
- Blocca gli aggiornamenti automatici delle estensioni che hanno accesso a terminale e file. Aggiornare 1 giorno dopo, quando gli altri hanno già segnalato i problemi, costa poco.
- Limita ciò che l’agente può toccare: cartelle di progetto dedicate, approvazioni attive sui comandi, niente chiavi di produzione nell’ambiente in cui gira l’assistente.
- Tieni le chiavi SSH sotto controllo: rileggi ogni tanto il file
authorized_keyse tieni spento l’accesso remoto (Login remoto su macOS) se non ti serve. - Usa credenziali a vita breve e con permessi ridotti, così una chiave rubata vale poco e per poco.
- Decidi prima chi ruota cosa: sapere in anticipo quali credenziali vivono su quale computer trasforma un incidente in un’ora di lavoro invece che in una settimana.
Sul principio di fondo, cioè dove un agente non deve mai decidere da solo, ho scritto Gate umano: dove un agente AI non deve mai decidere da solo.
Se hai una PMI con sviluppatori o fornitori che usano questi strumenti
Il problema non resta sul computer dello sviluppatore. Se un tuo collaboratore o la tua software house lavora con Cursor, Claude Code o assistenti simili, su quel computer ci sono spesso le chiavi del tuo sito, del gestionale, del server o del negozio online. Oggi vale la pena fare 3 domande, anche via email:
- Avete installato o aggiornato l’estensione Claude Code da Cursor il 29 ottobre?
- Avete fatto il controllo della chiave «svc-telemetry» su tutte le macchine?
- Quali nostre credenziali vivono su quei computer, e chi le ruota se serve?
Se non sai a chi farle o cosa aspettarti come risposta, è esattamente il tipo di lavoro che faccio con le aziende: mettere ordine in chi usa l’AI, con quali permessi e con quali controlli. Ne parliamo nella consulenza AI. Se vuoi prima capire cos’è Claude Code e come entra in azienda, parti da Claude Code spiegato a un imprenditore.
Domande frequenti
Quale versione dell’estensione Claude Code era malevola?
La 2.1.313 di Anthropic.claude-code distribuita dal marketplace delle estensioni di Cursor il 29 ottobre 2026, fra le 2:27 e le 13:35 ora del Pacifico. Cursor dice di non avere prove che altre versioni siano coinvolte.
L’estensione l’ha pubblicata Anthropic?
No. Secondo Cursor la versione malevola non è stata sviluppata da Anthropic: è una copia modificata finita nel marketplace di Cursor.
L’attaccante è riuscito a entrare nei computer?
Secondo Cursor, sulla maggior parte dei Mac e dei PC Windows accendere SSH richiede privilegi che l’estensione non aveva, quindi l’attaccante non poteva entrare dal tunnel. Però la chiave, la persistenza e l’invio dei dati del computer avvenivano comunque.
Basta disinstallare l’estensione?
No. L’attacco lascia script che continuano a girare da soli. Serve lo script di pulizia ufficiale di Cursor e, se la chiave c’era, la rotazione delle credenziali da un computer pulito.
Quali credenziali devo ruotare?
Cursor non dà un elenco. In pratica: chiavi SSH, token di GitHub e dei servizi cloud, chiavi API nei file di configurazione e le sessioni aperte nel browser di quel computer.
Uso Claude Code solo dal terminale: devo preoccuparmi?
L’avviso riguarda l’estensione distribuita dal marketplace di Cursor. Il controllo della chiave SSH resta un minuto ben speso.
Chi devo contattare se trovo segni dell’attacco?
Il team di sicurezza di Cursor, all’indirizzo indicato in fondo all’avviso ufficiale. Se sei un’azienda, avvisa anche chi gestisce i tuoi sistemi e chi ha accesso alle credenziali coinvolte.
