Cursor拡張機能マーケットプレイスで悪性「Claude Code 2.1.313」、最大5000人に影響

Claude Codeの改ざん版「2.1.313」が、Cursorの拡張機能マーケットプレイスで一時配布されていた——Cursorが2026年10月29日に公表したセキュリティインシデントです。最大5,000ユーザーが影響を受けた可能性があるとして、同社は安全なバージョン2.1.314への更新を呼びかけています。

室谷代表取締役

Cursorの拡張機能マーケットプレイスで、Claude Codeの悪性版が配布されていたというインシデントが発表されました。これはCursorが2026年10月29日に公表したセキュリティ通知で、Anthropicが開発した本物の拡張機能ではなく、第三者が改ざんしたバージョン2.1.313がマーケットプレイス上に置かれていたという話なんですよね。

影響は最大5,000ユーザーとされています。

テキトー教師DotAI 認定講師

これは単に「偽物が出回った」という話じゃないんですよ。正規のマーケットプレイス経由で、正規の拡張機能IDを名乗るパッケージが配布されたという点が重いんです。

Cursorの公式ブログでは、該当パッケージは「Anthropic.claude-code version 2.1.313」で、Anthropicが開発したものではないと明記されています。

室谷代表取締役

発表の主語はあくまでCursorです。Xの投稿もCursorの公式アカウントから出ていますが、発表元はCursor社。

そこは整理しておきたいところです。

テキトー教師DotAI 認定講師

そうですね。そしてCursorは「他の拡張機能には影響がない」ことも確認済みだと述べています。

ここは誤解されやすいので、記事でも丁寧に扱うべきポイントです。

Cursor拡張機能マーケットプレイスで何が起きたのか

室谷代表取締役

まず時系列を整理したいんですけど、公式ブログによると、悪性版が配布されていたのは太平洋時間の午前2時27分ごろから午後1時35分ごろまで。およそ11時間のあいだ、マーケットプレイス上で入手可能な状態だったということです。

テキトー教師DotAI 認定講師

はい。CursorのVS Code拡張機能マーケットプレイス上で、AnthropicのClaude Code拡張機能を改ざんしたバージョン2.1.313が提供されていた、というのが事実関係です。

Cursorの公式X投稿でも「最大5,000ユーザーに影響」「この悪性版はAnthropicが開発したものではない」と明言されています。

室谷代表取締役

ここで大事なのは、CursorのマーケットプレイスはOpen VSXというレジストリを使いつつ、Cursor独自のプロキシ経由でマルウェア分析やサプライチェーン分析をしてから配布する仕組みになっている、という点です。公式ヘルプの拡張機能ページにもそう書かれています。

つまり多層の防御があったにもかかわらず、すり抜けてしまった時間帯があった、ということなんですよね。

テキトー教師DotAI 認定講師

そうなんです。ヘルプ文書によれば、Cursorは拡張機能の検索・ダウンロードをmarketplace.cursorapi.comという自社プロキシ経由にして、商用のセキュリティツールで自動分析をかけ、不合格のものはブロックするとしています。

それに加えて、パブリッシャー検証、エンタープライズ向けの許可リスト、署名検証、インストールクールダウンといった層を重ねる設計です。

室谷代表取締役

でも、今回の事案はその分析をすり抜けて、短時間だけ悪性版が配布された。しかも公式ヘルプには、インストールクールダウンの既定値が0時間、つまり無効だと明記されているんですよ。

これはチームや企業が設定で防御を厚くできる、という示唆でもあります。MYUUUでも拡張機能の管理ルールは一度見直さないといけないなと思いました。

テキトー教師DotAI 認定講師

講座でも受講生さんから「拡張機能はどれを入れても同じですか」と聞かれることが多いんですけど、まったく同じではないんですよね。同じ publisher.extension という名前でも、Open VSXとMicrosoft Marketplaceでは別のコードを指すことがある、とヘルプ文書にも書かれています。

拡張機能IDは依存関係のように扱って、信頼できる発行元から入れるべきだ、と。

室谷代表取締役

これは地味ですけど重要なポイントです。IDが同じでも中身が同じとは限らない。

だからこそ、今回のように正規に見えるIDで悪性版が紛れ込む余地があるわけです。

悪性版「Claude Code 2.1.313」は何をしようとしたのか

室谷代表取締役

では、その悪性版が具体的に何をしようとしたのか。公式ブログにはかなり細かい技術的詳細が載っています。

まず、ホスト名、ユーザー名、OS、アーキテクチャ、ホームディレクトリのパス、環境変数の名前、作業ディレクトリ、設定されたGitのメールアドレス、公開IPを収集しようとする、と。

テキトー教師DotAI 認定講師

そして本丸が、攻撃者が管理するSSH鍵をauthorized_keysに追加し、ローカルのSSHサービスを有効化して、リバースSSHトンネルを開こうとする、という流れです。つまり常設のバックドアを作る手口ですね。

室谷代表取締役

ただし、ここは正確に伝えないといけないところで、公式ブログは「Cursorが管理者権限で起動されていたような極めて異例の状況を除いて、悪性コードのエラーによりこのステップは失敗する」と書いています。ローカルのSSHサービスを有効にするには管理者権限が必要で、ほとんどのmacOSやWindowsのホストでは悪性拡張機能にその権限がない、と。

テキトー教師DotAI 認定講師

とはいえ、失敗するのは「トンネルを開く」部分であって、攻撃者のSSH鍵の追加や永続化の仕掛け、ホスト情報の送信は行われてしまう。だから対処が必要なんです。

公式ブログも「それでも以下の対処手順を実施してください」と明記しています。

室谷代表取締役

永続化の方法も具体的に書かれています。macOSではLaunchAgent、WindowsではSYSTEMとして実行しようとするスケジュールタスクと、スタートアップスクリプトのフォールバック。

バックグラウンドスクリプトが約60秒ごとにトンネルを再試行する、と。しつこい設計ですよね。

テキトー教師DotAI 認定講師

そしてホストの詳細とバックドアの状態を、ポート8099の /beacon にHTTP POSTで送信しようとする。ただし公式ブログには「攻撃者サーバーはもはや機能していない」とあり、ホスティング事業者と協力してオフラインにしたため、リバースシェルとホスト情報のPOSTは機能しない状態だとされています。

室谷代表取締役

ここは安心材料として正確に伝えたいですね。攻撃基盤は止まっている。

でも、鍵の追加や永続化の痕跡は残り得るので、確認と対処は必要だ、というのが正しい理解です。

テキトー教師DotAI 認定講師

なお、公式ブログは「特定されたパッケージに関する所見であり、他のバージョンや公式ディストリビューションが影響を受けている証拠はない」とも述べています。ここも正確に引用したいところです。

自分は影響を受けている？確認方法と手順

室谷代表取締役

じゃあ、自分が影響を受けているかどうかを確認する方法です。公式ブログでは、悪性拡張機能が「svc-telemetry」というラベルの攻撃者の公開鍵をSSHのauthorized_keysに追記するので、それを探す手順が示されています。

テキトー教師DotAI 認定講師

整理するとこうです。macOSとWindowsで確認コマンドが異なるので、環境ごとに分けて紹介しますね。

• macOSの場合: ターミナルで grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted" を実行する
• Windowsの場合: PowerShellで、$HOME\.ssh\authorized_keys と C:\ProgramData\ssh\administrators_authorized_keys のうち存在するファイルを対象に svc-telemetry を検索する
• 鍵が見つかった場合は影響を受けていると判断し、公式の対処手順に進む

室谷代表取締役

ポイントは、確認するファイルが2つあることです。Windowsの場合はユーザーのauthorized_keysだけでなく、ProgramData側のadministrators_authorized_keysも見る必要がある。

ここを見落とすと「影響なし」と誤判定してしまう可能性があります。

テキトー教師DotAI 認定講師

受講生さんにも、コマンドはコピペで済ませず、何を検索しているのかを理解してほしいと伝えています。今回は「svc-telemetry」という鍵のコメントを探している、という意味を押さえると、応用が効きます。

室谷代表取締役

あと、公式ブログには侵害指標（IoC）も細かく載っています。改ざんされたVSIXのSHA-256ハッシュ、攻撃者のエンドポイント134[.]209[.]82[.]225、リバースSSHのトンネル先、ビーコンのURL、不正な公開鍵のフィンガープリント、macOSやWindowsの永続化ファイルのパス、不審なコマンドラインなどです。

テキトー教師DotAI 認定講師

こうした指標は、エンドポイントやネットワーク、拡張機能のインストール履歴のテレメトリを横断して検索するために使う、と公式ブログに書かれています。個人でも、怪しいプロセスやファイルがないか確認する材料になりますね。

室谷代表取締役

ちなみに、公開IPの取得にifconfig.meやapi.ipify.orgを使っていると書かれていますが、これらは正規のサービスなので、アクセスしただけでは侵害指標にならない、と公式ブログが注記しています。ここは誤検知しやすいので、正確に伝えたいところです。

感染が疑われる場合の対処——拡張機能の削除だけでは不十分

室谷代表取締役

ここが今回の記事で一番強調したいところなんですけど、公式ブログは「拡張機能をアンインストールするだけでは不十分な場合がある」と明言しています。悪性コードが単体で動く永続化スクリプトを落とすからです。

テキトー教師DotAI 認定講師

そうなんですよ。だから公式は、影響を受けたマシン向けに修復スクリプトを用意しています。

macOS用のremediate-macos.shと、Windows用のremediate-windows.ps1です。これらは悪性拡張機能、永続化の仕組み、実行中のトンネルプロセス、攻撃者のSSH鍵を削除し、何かが残っていれば非ゼロのステータスで終了する、と説明されています。

室谷代表取締役

実行方法も決まっていて、macOSは影響を受けたユーザーとして、rootではなく実行する。Windowsは管理者として開いたPowerShellで実行する。

ここは間違えると意図した動作にならないので注意です。

テキトー教師DotAI 認定講師

さらに公式ブログは、影響を受けたホストからアクセスできる認証情報とセッションを、信頼できるシステムからローテーションするよう求めています。環境変数の収集が限定的だったからといって、その後のバックドア経由の認証情報アクセスを否定できない、という理由です。

室谷代表取締役

これは実務的にすごく大事なポイントです。鍵やトークンを「念のため」で回すのは面倒ですけど、バックドアの入口が作られかけた以上、回すのが原則です。

MYUUUでもインシデント時の認証情報ローテーション手順は文書化していますが、改めて見直すきっかけになりました。

テキトー教師DotAI 認定講師

公式ブログは、ペイロードの実行やバックドア設置の証拠が見つかったホストを隔離し、ホストを再構築すべきかどうかを評価するよう求めています。削除スクリプトで消すだけで済むのか、再構築するのかは、証拠の状況次第ということですね。

室谷代表取締役

あと、公式ブログには「影響を受けた可能性のあるユーザーには直接連絡する」とあります。最大5,000ユーザーという規模感もあって、該当する場合はCursorからの連絡を待つだけでなく、自分で確認コマンドを実行しておくのが確実です。

Cursorは何をしたのか——マーケットプレイス停止から復旧まで

室谷代表取締役

Cursorの対応も整理しておきましょう。公式ブログによると、検知後すぐに悪性版をマーケットプレイスから削除して配布をブロックし、念のためVS Codeマーケットプレイス全体を完全にシャットダウンした、と。

テキトー教師DotAI 認定講師

そのうえで、アクセスを監査して他の拡張機能が改ざんされていないことを確認し、鍵をローテーションし、マーケットプレイスを再構築してオンラインに戻した、という流れです。攻撃者サーバーについても、ホスティング事業者と協力してオフラインにした、と。

室谷代表取締役

公式X投稿でも「午後にマーケットプレイスを停止し、関係プロバイダーと協力してマルウェアを無効化し、さらなるリスクがないことを確認したうえで復旧した」と述べています。検知から停止、無効化、監査、復旧までを一日でやっているわけです。

テキトー教師DotAI 認定講師

ここで注目したいのは、他の拡張機能への影響を監査で確認している点です。サプライチェーン事案では「他にも仕込まれていないか」が最大の関心事なので、そこを明言しているのは重要ですね。

室谷代表取締役

一方で、現時点では明らかにされていないこともあります。たとえば、悪性版がどのようにマーケットプレイスの分析をすり抜けたのか、その具体的な手口は公式ブログでは説明されていません。

この点は憶測せず、続報を待つべきだと思います。

テキトー教師DotAI 認定講師

そうですね。原因の詳細は不明ですが、対策として何ができるかは公式情報から十分に読み取れます。

そこを記事では厚くしたいところです。

安全なバージョン2.1.314への更新と今後の防御策

室谷代表取締役

Cursorは全顧客に対して、Claude Code for VS Codeのバージョン2.1.314へ更新するよう求めています。これが現時点で公式に示されている最も基本的な対処です。

テキトー教師DotAI 認定講師

バージョン確認と更新の考え方は、Claude Code全般の更新の仕組みを理解しておくとスムーズです。詳しくはClaude Codeのアップデート方法完全ガイドで解説しているので、あわせて確認しておくと安心ですね。

室谷代表取締役

そのうえで、今後の防御策です。Cursorのヘルプ文書には、チーム向けの設定がいくつか示されています。

まずマーケットプレイスのインストールクールダウン。チームの管理者が、拡張機能のインストールや更新を、マーケットプレイスで公開されてから一定時間経過するまで遅延させられる仕組みです。

テキトー教師DotAI 認定講師

設定場所はチーム設定の「Security & automation」にある「Marketplace Install Cooldown (hours)」。設定できるのはチームのオーナーと管理者で、既定値は0、つまり無効です。

0より大きい値にするとチーム全体に適用され、ユーザー個別の設定を上書きして、即時更新に戻せなくなる、と書かれています。

室谷代表取締役

短命な悪性アップロードに対する緩衝になるわけですね。今回の悪性版は約11時間のあいだ配布されていたので、クールダウンを設定していれば、その時間帯にインストールしてしまうリスクを減らせた可能性があります。

テキトー教師DotAI 認定講師

もう一つが許可リストです。承認した発行元や拡張機能IDにインストールを制限できるもので、チームダッシュボードまたはMDMのAllowedExtensionsで設定します。

そして署名検証。エンタープライズチームは、インストール前に有効なOpen VSX拡張機能の署名を必須にできます。

室谷代表取締役

ただし公式ヘルプは、インストールクールダウンと署名検証はクライアント側のインストール制御であり、マーケットプレイス層の分析やブロックを補完するものであって、置き換えるものではない、と注記しています。どの単一の制御も他の制御の代わりにはならない、という考え方ですね。

テキトー教師DotAI 認定講師

まさに多層防御です。講座でも、一つの対策に頼らず、層を重ねる発想を伝えています。

発行元の検証バッジも一つの信頼の層ですが、それだけに頼らず、許可リストやクールダウンを併用すべきだとヘルプ文書も述べています。

室谷代表取締役

個人で使っている人も、拡張機能IDは依存関係のように扱って、信頼できる発行元から入れる。これは今日からできる防御です。

Claude Code自体の基本を押さえたい方はClaude Codeとは？読み方・できること・使い方を完全解説も参考になります。

テキトー教師DotAI 認定講師

あと、今回の件はAIコーディングツールの拡張エコシステム全体の信頼性に関わる話でもあります。Cursorは2026年8月にSpaceXに買収され、Grok関連製品群やAgent SDKなども展開していますが、そうした広がりの中でマーケットプレイスの信頼性管理がますます重要になっている、という位置づけですね。

室谷代表取締役

そういう意味では、開発者一人ひとりが「入れる前に確認する」習慣を持つことが、最終的な防御線になります。怪しい拡張機能を入れない、更新は落ち着いてから、権限を確認する。

地味ですが、これが効くんですよね。

よくある質問

室谷代表取締役

ここからは、よく聞かれそうな点を整理していきます。まず、今回の悪性版はAnthropicが作ったものなのか、という点です。

テキトー教師DotAI 認定講師

これは公式に明確で、悪性版はAnthropicが開発したものではありません。Cursorの公式X投稿にも公式ブログにもそう明記されています。

AnthropicのClaude Code拡張機能を第三者が改ざんしたものです。

室谷代表取締役

次に、他の拡張機能にも影響があるのか。これはCursorがアクセスを監査し、他の拡張機能が改ざんされていないことを確認した、と公式ブログにあります。

また、特定されたパッケージに関する所見であり、他のバージョンや公式ディストリビューションが影響を受けている証拠はない、とも述べています。

テキトー教師DotAI 認定講師

では、影響を受けたかどうかはどう確認するのか。これは先ほどのsvc-telemetryの鍵を探すコマンドですね。

macOSとWindowsで手順が異なるので、公式ブログのコマンドをそのまま使うのが確実です。

室谷代表取締役

拡張機能を削除すれば安心なのか、という質問も来そうです。これも公式が明言していて、悪性コードが単体で動く永続化スクリプトを落とすため、アンインストールだけでは不十分な場合があります。

公式の修復スクリプトを使ってください。

テキトー教師DotAI 認定講師

攻撃者のサーバーはまだ動いているのか、という点も気になりますよね。公式ブログによれば、ホスティング事業者と協力してオフラインにしたため、リバースシェルとホスト情報のPOSTは機能しない状態です。

室谷代表取締役

どのバージョンに更新すればいいのか。これは公式にClaude Code for VS Codeの2.1.314と示されています。

全顧客に更新が求められています。

テキトー教師DotAI 認定講師

チームで使っている場合にできる防御はあるのか。これはヘルプ文書に、インストールクールダウン、許可リスト、署名検証の3つが示されています。

いずれもクライアント側の制御で、マーケットプレイス層の分析を補完するものだ、という位置づけも押さえておきましょう。

室谷代表取締役

最後に、悪性版がなぜマーケットプレイスの分析をすり抜けたのか、という点ですが、これは現時点では明らかにされていません。公式ブログにもその手口の詳細な説明はなく、続報を待つ必要があります。

憶測で埋めずに、公式情報を追いかけたいところです。

テキトー教師DotAI 認定講師

今回の件は、便利さと引き換えに何を入れているのかを意識するきっかけになりますね。受講生さんにも、拡張機能の権限と発行元を確認する習慣を伝えていきます。

室谷代表取締役

まずは自分の環境で確認コマンドを実行して、必要なら2.1.314へ更新する。チームで使っているならクールダウンと許可リストを設定する。

この順番で動くのが現実的だと思います。