أعلنت أداة البرمجة Cursor إن نسخ معدّلة بشكل خبيث من إضافة Claude Code كانت متاحة في متجر الإضافات حقها، وهي النسختين 2.1.312 و2.1.313 لويندوز وماك. وتقول الشركة إن هالنسخ ما طورتها أنثروبيك، وإن الإضافات الثانية اللي تنزل من متجرها ما تأثرت.
حسب Cursor، الإضافة الخبيثة كانت متاحة يوم 29 أكتوبر من حوالي الساعة 2:27 الفجر لحد 1:35 الظهر بتوقيت المحيط الهادئ، يعني تقريبًا من 12:27 الظهر لحد 11:35 بالليل بتوقيت السعودية. وكانت تجمع معلومات عن الجهاز والمستخدم، مثل اسم الجهاز واسم المستخدم ونظام التشغيل وإيميل Git وعنوان IP العام، وترسلها للمهاجم. وتحاول كمان تضيف مفتاح SSH للمهاجم، وتشغّل خدمة SSH، وتفتح نفق عكسي يخليه يدخل الجهاز، وتعيد محاولة فتح النفق كل دقيقة تقريبًا.
والخبر الزين إن تشغيل خدمة SSH يحتاج صلاحيات مدير، والإضافة ما عندها هالصلاحيات في أغلب أجهزة ماك وويندوز، فالمهاجم ما قدر يدخل عن طريق النفق في هالأجهزة. وCursor وقفت سيرفر المهاجم بالتعاون مع مزود الاستضافة. لكنها تنبه إن الإضافة أضافت مفتاح المهاجم وثبّتت نفسها وأرسلت بيانات الجهاز، فلازم تتبع خطوات الإصلاح على كل حال.
وتقول Cursor إنها شالت النسختين الخبيثتين أول ما اكتشفتهم، وبعدها قفلت المتجر كله احتياط، وراجعت الصلاحيات وتأكدت إن ما فيه إضافات ثانية متلاعب فيها، وغيّرت مفاتيحها وبنت المتجر من جديد ورجّعته.
The coding tool Cursor says maliciously modified versions of the Claude Code extension were available in its extension marketplace: versions 2.1.312 and 2.1.313 for Windows and macOS. The company says these versions were not developed by Anthropic, and other extensions downloaded from its marketplace were not affected.
According to Cursor, the malicious extension was available on 29 October from about 2:27am to 1:35pm Pacific Time, roughly 12:27pm to 11:35pm Saudi time. It collected information about the computer and user, such as the hostname, username, operating system, configured Git email and public IP address, and sent it to the attacker. It also tried to add the attacker's SSH key, turn on the SSH service and open a reverse tunnel letting the attacker into the machine, with background scripts retrying the tunnel roughly every 60 seconds.
The good news is that turning on SSH needs administrator rights, which the extension does not have on most macOS and Windows machines, so on those machines the attacker could not get in through the tunnel. Cursor also worked with the hosting provider to take the attacker's server offline. But it warns that the extension did add the attacker's key, install persistence and send device details, so users should follow the fix-up steps regardless.
Cursor says it removed the malicious versions as soon as they were detected, then shut down the whole marketplace as a precaution, audited access and confirmed no other extensions had been tampered with, rotated its keys, rebuilt the marketplace and brought it back online.
وش يعني لك؟What it means for you
إذا تستخدم Cursor على ماك أو ويندوز ونزّلت أو حدّثت إضافة Claude Code يوم 29 أكتوبر، افتح تنبيه Cursor وشغّل أمر الفحص اللي فيه. إذا لقيت مفتاح اسمه svc-telemetry في ملف authorized_keys، جهازك متأثر: شغّل سكربت الإصلاح، وغيّر كلمات المرور ومفاتيح الدخول من جهاز ثاني موثوق.If you use Cursor on macOS or Windows and installed or updated the Claude Code extension on 29 October, open Cursor's notice and run the check it gives. If you find a key named svc-telemetry in your authorized_keys file, your machine is affected: run the remediation script, and rotate your passwords and access keys from another trusted device.
المصدرSource: Cursor · 29 Oct 2026 ↗
كتبنا الخبر بأسلوبنا اعتمادًا على المصدر الأصلي. للتفاصيل الكاملة ارجع للمصدر.Written in our own words from the original source. See the source for full details.