30 de octubre de 2026.
El 29 de octubre el marketplace de extensiones de Cursor distribuyó una versión modificada de la extensión oficial de Claude Code. El identificador es el de Anthropic (Anthropic.claude-code) y el número es 2.1.313. Cursor dice que ese paquete no lo desarrolló Anthropic. No es una falla del modelo. Es un paquete de terceros que se hizo pasar por la extensión.
La ventana es corta: entre las 2:27 y las 13:35, hora del Pacífico, del 29 de octubre de 2026. Cursor estima como máximo 5.000 cuentas afectadas y va a escribirles directo.
Qué hacer ahora
- Mira qué versión de
Anthropic.claude-codequedó instalada. Si no es la 2.1.313, y no la instalaste en esa ventana, este aviso no te describe. - Si sí, o si no estás seguro, busca la clave. En macOS:
grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted"
- Si el comando encuentra la clave, aísla el equipo. Desinstalar la extensión no alcanza: el payload deja scripts de persistencia que siguen corriendo. La limpieza y los indicadores están en el aviso de Cursor. Rota después las credenciales y sesiones a las que ese equipo podía llegar, desde una máquina de confianza.
Cursor ya sacó la 2.1.313, apagó el marketplace, auditó el resto de extensiones, rotó llaves y volvió a abrirlo. También bajó el servidor del atacante junto con el proveedor que lo alojaba. El túnel y el aviso al servidor ya no funcionan. La clave y la persistencia, si se instalaron, siguen en el disco.
Qué intenta hacer el paquete
La extensión corre código que busca dejar una puerta trasera SSH. Según el aviso de Cursor:
- Junta datos del equipo: nombre del host, usuario, sistema operativo, arquitectura, directorio home, nombres de variables de entorno, directorios de trabajo, el email de Git configurado y la IP pública.
- Intenta agregar una clave SSH del atacante, marcada
svc-telemetry, enauthorized_keys, encender el servicio SSH local y abrir un túnel inverso. - Intenta dejar ese túnel persistente: un LaunchAgent en macOS (
com.apple.sysmond) o una tarea programadaSysMonen Windows. Unos scripts reintentan el túnel más o menos cada 60 segundos. - Reporta el resultado con un HTTP POST a
/beaconen el puerto 8099.
En la mayoría de los Mac y Windows el paso del túnel no llega a abrirse. Encender el servicio SSH pide privilegios de administrador, y el código malicioso falla ahí salvo que Cursor se haya abierto como administrador. La clave, la persistencia y el envío de datos del equipo igual se ejecutan. Por eso el chequeo de svc-telemetry importa aunque el túnel no haya quedado arriba.
Cursor identificó paquetes modificados para macOS (darwin-arm64) y Windows (win32-x64). El servidor que citan es 134.209.82.225. Los hashes y la clave completa están en el aviso. Aquí no se copian.
The Hacker News, el 30 de octubre, reportó que la versión maliciosa ya no está y que Anthropic publicó la 2.1.314 en Open VSX y en el marketplace de VS Code. Cursor dice que no tiene evidencia de que otras versiones, ni la distribución oficial, estén afectadas. No hay evidencia de que el paquete haya llegado a Open VSX ni al marketplace de Microsoft.
Qué no es este incidente
No es un jailbreak de Claude ni una CVE del binario de Claude Code. El repositorio de Anthropic tiene avisos propios de octubre (escrituras fuera del workspace, instalación de plugins). Son otro tema, con otro parche, y no explican la 2.1.313.
Tampoco cubre a quien usa Claude en el navegador o por API sin haber instalado esa extensión desde Cursor en esa ventana.
Por qué el inventario de extensiones importa
Una extensión de agente corre en el laptop de quien tiene el repositorio, las llaves y, a veces, producción. El modelo no necesita estar comprometido. Alcanza con que el paquete que lo envuelve escriba en authorized_keys.
La pregunta práctica es la misma que con los servidores MCP: qué agentes y qué extensiones hay, quién las instaló, desde qué marketplace y con qué permisos. Si no puedes responder eso un martes, tampoco puedes saber si la 2.1.313 pasó por el equipo. El inventario de conectores está en gobierno de MCP para equipos de seguridad.
Si esa máquina llega a sistemas productivos, el paso siguiente no es otro prompt. Es mirar el acceso como una intrusión de puesto de trabajo: sesiones, llaves y qué pudo leer el equipo mientras la persistencia estuvo instalada.
El mismo mes, el runtime de los sitios es otro frente. El parche de seguridad PHP no tiene nada que ver con esta extensión, y esta extensión no parchea PHP.
Si quieres revisar con alguien qué agentes, extensiones y runtimes tienes expuestos, agenda un diagnóstico.
Fuentes
- Security notice: malicious version of Anthropic.claude-code (2.1.313), Cursor, 29 de octubre de 2026
- Official Claude Code Extension on Cursor Marketplace Trojanized with Persistent SSH Backdoor, The Hacker News, 30 de octubre de 2026
Preguntas frecuentes
¿Es una vulnerabilidad de Anthropic o del modelo Claude?
No. Cursor dice que la versión 2.1.313 de la extensión Anthropic.claude-code no la desarrolló Anthropic. El paquete malicioso estuvo en el marketplace de extensiones de Cursor. No hay evidencia de que afecte al modelo, a la API, a claude.ai ni a la distribución oficial.
¿Qué versión de Claude Code está afectada?
Anthropic.claude-code 2.1.313, instalada o actualizada desde el marketplace de Cursor entre las 2:27 y las 13:35 PT del 29 de octubre de 2026. Otras versiones y quien instaló la extensión desde Open VSX o el marketplace de VS Code no están en el aviso.
¿Cómo sé si esta máquina quedó comprometida?
Busca la clave SSH marcada svc-telemetry en ~/.ssh/authorized_keys. Si aparece, la máquina está afectada aunque desinstales la extensión. Cursor publicó el chequeo y los scripts de limpieza en su aviso del 29 de octubre.
¿Alcanza con desinstalar la extensión o pasar a la 2.1.314?
No, si la 2.1.313 llegó a ejecutarse. El payload deja persistencia aparte: un LaunchAgent en macOS o una tarea programada en Windows. Hay que sacar la clave, la persistencia y los procesos del túnel, y rotar credenciales desde un equipo de confianza.
Más en Vulnerabilidades
Node.js parcheó una falla en el decodificador Brotli (CVE-2026-111497) que puede ejecutar código. Instala 22.23.4, 24.22.1 o 26.12.1.
Al 30 de octubre el parche de PHP no cambió: 8.5.12, 8.4.27, 8.3.36 o 8.2.35. CISA las metió en el KEV. En Windows, instala el rebuild con sufijo -1.