Cursor（Anysphere社）が、2026年10月29日に発覚したセキュリティインシデントについて、約2週間の調査を経た詳細な公式報告を2026年11月13日に公開しました。何が起きたのか、誰が影響を受けたのか、そして開発者・情シスが今すぐ何をすべきかを整理します。
室谷代表取締役Cursorのセキュリティインシデントについて、公式の詳細レポートが出ましたね。10月29日に最初の告知があって、そこから2週間かけて調査した内容をまとめた形です。
テキトー教師DotAI 認定講師はい、今回は「悪意ある拡張機能がCursorのマーケットプレイスに置かれた」というサプライチェーン攻撃の話なんですよ。単に拡張機能を消せば済む話じゃないところが怖いんですよね。
Cursorセキュリティインシデントとは？何がいつ起きたのか
Cursorセキュリティインシデントの時系列
- 2026年10月29日最初の告知Cursorがインシデントについて最初の告知を実施
- 2026年11月1日攻撃者の最後の活動公式によると、この活動はブロックされた
- 2026年11月13日詳細レポート公開今回の詳細レポートが公表された
室谷代表取締役まず時系列を整理しましょう。最初の告知が2026年10月29日、今回の詳細レポートが11月13日です。
攻撃者の最後の活動は11月1日で、それはブロックされたと公式が述べています。
攻撃者の最後の活動は11月1日で、それはブロックされたと公式が述べています。
テキトー教師DotAI 認定講師発端はCursorが外部ベンダーのFireworksに発行していたアクセスキーなんですよ。そのキーがFireworks側で露出して、攻撃者がそれを使ってCursorがFireworksとデータ共有に使っていた読み取り専用ストレージバケットからデータをコピーした、という流れです。
室谷代表取締役そこから得た認証情報を使って、攻撃者はCursorが利用している一部のSaaSツールに到達し、さらにCursorのVS Code拡張マーケットプレイスに悪意あるClaude Code拡張を置いた、と。これは単一の脆弱性というより、認証情報の連鎖的な悪用なんですよね。
テキトー教師DotAI 認定講師しかもCursorは「Anthropicはこのコピーを公開していないし、Anthropic製品の脆弱性でもない」と明確に述べています。マーケットプレイスの元になっているOpen VSXにもマルウェアは入っていなかった、と。
つまりCursorの配布経路だけが汚染されたということです。
つまりCursorの配布経路だけが汚染されたということです。
室谷代表取締役ここ大事ですよね。MYUUUでも拡張機能は便利だから自動更新のまま使っていましたけど、配布ストアの信頼性がそのまま開発環境のリスクになるんだなと。
何が漏れたのか：影響範囲と影響を受けたユーザーの条件
影響を受けた範囲と受けなかった範囲
影響を受けた可能性
- Privacy Mode非使用セッションのコーディングエージェントのトレース（主に2025年、モデル学習許可データ）
- マスキングされていない認証情報を含む一部データ
- API認証情報の露出：顧客の0.01%未満
- トレース露出：Privacy Mode非使用ユーザーの0.05%未満
- 改ざん版拡張の取得可能性：最大5,000ユーザー（約11時間の公開）
- 非本番のアーカイブ済みソースコードリポジトリ（一部にビジネス連絡先情報）
- 限定的なカスタマーサポートデータとメールのやり取り
- 製品利用指標と連絡先
- 一部のコーディングエージェント会話の要約
- ユーザーがサポートに送った認証情報の一部
影響がなかったもの
- Privacy Mode利用中のプロンプトとコード
- 現在Cursorに送っているデータやライブトラフィック
- Cursorの本番システムとインフラ
- Cursorアプリ本体と公式アップデート
- クライアントとクラウドに配布しているコード
- Cloud Agents for customer teamsやGrok Botなど他の製品
- マーケットプレイスの他の拡張機能
- アクティブな推論リクエスト
- Cursor Marketplaceからダウンロードしたプラグイン
- 顧客のコードリポジトリ
テキトー教師DotAI 認定講師影響範囲は公式がかなり細かく示しています。まず漏れた可能性があるのは、Privacy Modeを使っていないセッションのコーディングエージェントのトレースで、主に2025年のもの、モデル学習に使う許可を得ていたデータです。
室谷代表取締役そのうち一部にマスキングされていない認証情報が含まれていて、API認証情報が露出したのは顧客の0.01%未満。トレースが露出したのはPrivacy Mode非使用ユーザーの0.05%未満。
そして改ざん版拡張を取得した可能性があるのは最大5,000ユーザー、約11時間の公開だった、と。
そして改ざん版拡張を取得した可能性があるのは最大5,000ユーザー、約11時間の公開だった、と。
テキトー教師DotAI 認定講師数字だけ見ると小さく見えますけど、該当した人にとっては100%ですからね。公式は影響を受けた顧客には個別に連絡済みで、「通知が来ていなければそのデータは含まれていない」と明言しています。
室谷代表取締役あと見逃せないのが、攻撃者がCursorのSaaSツール経由でアクセスした範囲です。非本番のアーカイブされたソースコードリポジトリ（一部にビジネス連絡先情報を含む）、限定的なカスタマーサポートデータとメールのやり取り、製品利用指標と連絡先、一部のコーディングエージェント会話の要約、そしてユーザーがサポートに送った認証情報の一部。
テキトー教師DotAI 認定講師サポートに送った認証情報って、意外と盲点なんですよ。問い合わせのやり取りに鍵を貼ってしまうことありますからね。
整理するとこうです。
整理するとこうです。
| 項目 | 内容 |
|---|---|
| 発覚日 | 2026年10月29日 |
| 詳細報告 | 2026年11月13日 |
| 攻撃者の最終活動 | 2026年11月1日（ブロック済み） |
| 改ざん版拡張の公開時間 | 約11時間（PT 2:27〜13:35） |
| 改ざん版の取得可能性 | 最大5,000ユーザー |
| API認証情報の露出 | 顧客の0.01%未満 |
| トレース露出（Privacy Mode非使用） | 0.05%未満 |
| 対象バージョン | Anthropic.claude-code 2.1.312 / 2.1.313（Windows・macOS） |
室谷代表取締役逆に影響がなかったものも公式が列挙しています。Privacy Mode利用中のプロンプトとコード、現在Cursorに送っているデータやライブトラフィック、Cursorの本番システムとインフラ、Cursorアプリ本体と公式アップデート、クライアントとクラウドに配布しているコード、Cloud Agents for customer teamsやGrok Botなど他の製品、マーケットプレイスの他の拡張機能、アクティブな推論リクエスト、Cursor Marketplaceからダウンロードしたプラグイン、顧客のコードリポジトリ。
テキトー教師DotAI 認定講師ここは安心材料として正確に伝えたいところですね。Cursorのアプリ自体は攻撃者がアクセスしていない別のコードホスティングシステムから配布されていて、リリース署名鍵も漏れていない、と。
悪意あるClaude Code拡張機能はなぜ配布されたのか：攻撃の手口
悪意ある拡張機能の攻撃手順と永続化の仕組み
- 01情報収集・送信ホスト名・ユーザー名・OS・アーキテクチャ・ホームディレクトリ・環境変数名・作業ディレクトリ・設定済みGitメール・公開IPを収集して送信
- 02SSH鍵の追加攻撃者管理のSSH鍵をauthorized_keysに追加
- 03ローカルSSHサービスの有効化管理者権限が必要。ほとんどのmacOS・Windowsホストでは失敗する
- 04リバースSSHトンネルを開く悪意あるコードのエラーにより、管理者権限でCursorを起動するような極めて異例の場合を除き失敗する
- 05永続化の仕掛けmacOSはLaunchAgent、WindowsはSYSTEMとして実行を試みるスケジュールタスクとスタートアップスクリプトのフォールバック
- 06約60秒ごとに再試行バックグラウンドスクリプトがトンネルを約60秒ごとに再試行。拡張のアンインストールだけでは不十分で、単体の永続化スクリプトが残って動き続ける可能性がある
室谷代表取締役攻撃の手口がまた巧妙なんですよ。改ざん版拡張は何をしようとしていたのか。
テキトー教師DotAI 認定講師公式の通知によると、悪意あるコードは永続的なSSHバックドアの設置を試みます。具体的にはホスト名・ユーザー名・OS・アーキテクチャ・ホームディレクトリ・環境変数名・作業ディレクトリ・設定済みGitメール・公開IPを収集して送信し、攻撃者管理のSSH鍵をauthorized_keysに追加し、ローカルSSHサービスを有効化してリバースSSHトンネルを開こうとする、と。
室谷代表取締役ただし公式は、管理者権限でCursorを起動するような極めて異例の場合を除いて、悪意あるコードのエラーによりこの手順は失敗するはずだ、とも述べています。ローカルSSHサービスの有効化には管理者権限が必要で、ほとんどのmacOS・Windowsホストでは失敗する、と。
テキトー教師DotAI 認定講師とはいえ、鍵の追加と永続化の仕掛け、ホスト情報の送信は行われています。だから「失敗したから大丈夫」ではなく、公式も影響の有無にかかわらず対処手順を踏むよう求めているんですよ。
室谷代表取締役永続化の仕組みも具体的です。macOSではLaunchAgent、WindowsではSYSTEMとして実行を試みるスケジュールタスクとスタートアップスクリプトのフォールバック。
バックグラウンドスクリプトが約60秒ごとにトンネルを再試行する。しかも拡張をアンインストールするだけでは不十分で、単体の永続化スクリプトが残って動き続ける可能性がある、と。
バックグラウンドスクリプトが約60秒ごとにトンネルを再試行する。しかも拡張をアンインストールするだけでは不十分で、単体の永続化スクリプトが残って動き続ける可能性がある、と。
テキトー教師DotAI 認定講師攻撃者のサーバーはすでに機能していないと公式が明言しています。ホスティング事業者と協力してオフラインにした、と。
リバースシェルやホスト情報のPOSTは機能しない状態です。ただ、痕跡の確認と除去は必要です。
リバースシェルやホスト情報のPOSTは機能しない状態です。ただ、痕跡の確認と除去は必要です。
室谷代表取締役ここで一つ補足すると、これはAnthropicの製品の脆弱性ではないんですよね。Anthropic側は別途、Claude Codeにサンドボックス機能を導入していて、ファイルシステム分離とネットワーク分離をOSレベルで行うことでプロンプトインジェクション対策を進めています。
今回の件とは直接の因果関係はありませんが、エージェントの権限管理という文脈では押さえておきたいところです。
今回の件とは直接の因果関係はありませんが、エージェントの権限管理という文脈では押さえておきたいところです。
Cursorは何をしたのか：公表された対応と是正措置
テキトー教師DotAI 認定講師ここが今回の報告の中心ですね。Cursorが実施した対応を整理しましょう。
室谷代表取締役まず初動として、監視システムが不正活動を検知した後にベンダーのキーを無効化し、インシデント対応を開始して認証情報の失効とローテーション、さらなる不正アクセスの調査を行った。証拠が必要とする範囲をはるかに超えて内部・製品サービスを一時停止し、安全が確認できたものから復旧した、と。
テキトー教師DotAI 認定講師10月30日にはブログとXでセキュリティ通知を出して、侵害指標・対処手順・システム確認用スクリプトを公開し、影響ユーザーとチーム管理者へアプリ内通知とメールで連絡。認証情報が露出した場合は、チーム管理者にローテーションすべき具体的なキーのリストをメールし、発行元の第三者サービスにも失効を依頼した、と。
室谷代表取締役恒久対策も網羅的です。推論トラフィックをFireworksから完全に移し、キーを無効化して共有データセットへのアクセスを遮断。
リスクの高いものから全認証情報をローテーションし、露出の証拠がないものも含めて内部システム全体の認証情報を予防的にローテーション。マーケットプレイスの他の拡張機能の真正性を検証し、VS Code拡張マーケットプレイスをレビューして再構築。
リスクの高いものから全認証情報をローテーションし、露出の証拠がないものも含めて内部システム全体の認証情報を予防的にローテーション。マーケットプレイスの他の拡張機能の真正性を検証し、VS Code拡張マーケットプレイスをレビューして再構築。
テキトー教師DotAI 認定講師さらに、サービスプロバイダー間のネットワークアクセス制限を可能な範囲で拡大して、侵害された認証情報が意図した場所の外で使えないようにした。全コードリポジトリにシークレットスキャンと保護を追加し、他の内部データソースにもスキャンを拡大。
予防措置として本番インフラとサービスをすべて再デプロイし、復旧前に各内部サービスをレビュー。外部のフォレンジック専門家も投入しています。
予防措置として本番インフラとサービスをすべて再デプロイし、復旧前に各内部サービスをレビュー。外部のフォレンジック専門家も投入しています。
室谷代表取締役公式は「影響を受けた方々に謝罪する。プライバシーとセキュリティを最優先として扱っており、改善できるし、しなければならない」と述べています。
問い合わせ先はsecurity@cursor.comです。
問い合わせ先はsecurity@cursor.comです。
自社は影響を受けているか：今すぐ確認すべきことと対策
テキトー教師DotAI 認定講師ここが実務的に一番大事なところです。まず確認方法からいきましょう。
悪意ある拡張は攻撃者の公開鍵をsvc-telemetryというラベルでSSHのauthorized_keysに追加します。
悪意ある拡張は攻撃者の公開鍵をsvc-telemetryというラベルでSSHのauthorized_keysに追加します。
室谷代表取締役macOSならターミナルで確認コマンドを実行する形ですね。
bash
grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted"WindowsならPowerShellでこうです。
powershell
$files = "$HOME\.ssh\authorized_keys", "C:\ProgramData\ssh\administrators_authorized_keys" | Where-Object { Test-Path $_ }
if ($files -and (Select-String svc-telemetry $files)) { "svc-telemetry key found" } else { "No key found; machine not impacted" }鍵が見つかったら影響を受けています。公式の対処手順に従って、macOSならremediate-macos.shを影響を受けたユーザーとしてrootではなく実行、Windowsなら管理者として開いたPowerShellでremediate-windows.ps1を実行します。
これらのスクリプトは悪意ある拡張、永続化の仕組み、実行中のトンネルプロセス、攻撃者のSSH鍵を削除し、何かが残っていれば非ゼロのステータスで終了する、と。
これらのスクリプトは悪意ある拡張、永続化の仕組み、実行中のトンネルプロセス、攻撃者のSSH鍵を削除し、何かが残っていれば非ゼロのステータスで終了する、と。
テキトー教師DotAI 認定講師加えて、エンドポイント・ネットワーク・拡張インストールのテレメトリで侵害指標を検索し、ペイロード実行やバックドア設置の証拠があるホストを隔離。信頼できるシステムから、影響ホストでアクセス可能だった認証情報とセッションをローテーションする。
環境変数の収集が限定的だったからといって、バックドア経由の後日の認証情報アクセスを否定できない、と公式は注意しています。
環境変数の収集が限定的だったからといって、バックドア経由の後日の認証情報アクセスを否定できない、と公式は注意しています。
室谷代表取締役侵害指標にはパッケージバージョンごとの改ざんVSIXのSHA-256とMD5、ペイロードのハッシュ、攻撃者エンドポイントのIP、SSH鍵のフィンガープリント、永続化ファイルのパス、コマンドラインの特徴などが含まれています。詳細は公式の通知ページにまとまっているので、情シスはそこを一次情報として確認するのが確実です。
テキトー教師DotAI 認定講師拡張機能の更新まわりが不安という声もありますよね。フォーラムでも「プラグイン更新を信頼できなくなるのか」という投稿がありました。
まずはCursorのアップデート方法を徹底解説！手動・自動・トラブル対策を確認して、自社の更新ポリシーを見直すきっかけにするとよいと思います。
まずはCursorのアップデート方法を徹底解説！手動・自動・トラブル対策を確認して、自社の更新ポリシーを見直すきっかけにするとよいと思います。
業務利用してよいか：情シスが見るべき管理・統制の論点
室谷代表取締役ここからは情シス視点ですね。今回の事案を受けて、Cursorを業務利用してよいのかという判断が問われます。
テキトー教師DotAI 認定講師公式が公表している事実ベースで言うと、影響がなかった範囲としてPrivacy Mode利用中のプロンプトとコード、本番システム、アプリ本体と公式アップデート、他の拡張機能、顧客のコードリポジトリが明示されています。つまりPrivacy Modeの扱いと拡張機能の管理が統制の中心になる、ということです。
室谷代表取締役Privacy Modeはコードやプロンプトをモデル学習に使わせないモードです。今回、トレースが露出したのはPrivacy Mode非使用のセッションでした。
業務利用ならPrivacy Modeの強制は最低ラインとして検討したいところですね。
業務利用ならPrivacy Modeの強制は最低ラインとして検討したいところですね。
テキトー教師DotAI 認定講師拡張機能は自動更新が既定になりがちですが、今回の攻撃経路はまさにそこでした。許可リスト方式で拡張機能を管理する、更新を即時自動適用せず検証を挟む、といった運用は講座でもよく話題になります。
受講生さんでも「便利だから全部自動で」という設定のままの方が多いんですよ。
受講生さんでも「便利だから全部自動で」という設定のままの方が多いんですよ。
室谷代表取締役あとはシャドーIT対策ですね。個人アカウントでCursorを入れてしまうと、情シスが影響範囲を把握できません。
チーム管理の下で利用状況を可視化しておくことが、いざという時の連絡と調査の前提になります。プランごとの利用枠についてはCursorの制限を完全理解！プラン別の利用枠から上限解除・リセットまでで整理していますが、統制の観点でもプラン設計は無視できません。
チーム管理の下で利用状況を可視化しておくことが、いざという時の連絡と調査の前提になります。プランごとの利用枠についてはCursorの制限を完全理解！プラン別の利用枠から上限解除・リセットまでで整理していますが、統制の観点でもプラン設計は無視できません。
テキトー教師DotAI 認定講師インシデント報告体制も論点です。今回は公式がチーム管理者へメールで通知し、ローテーションすべきキーのリストまで送る形を取っています。
日頃からセキュリティ連絡先を最新にしておかないと、この通知を受け取れないんですよね。
日頃からセキュリティ連絡先を最新にしておかないと、この通知を受け取れないんですよね。
室谷代表取締役現時点で公式が示しているのはここまでです。SSO/SCIMの具体的な設定手順や、拡張機能の許可リスト機能の詳細については、今回の発表ソースでは明らかにされていません。
導入検討時は公式ドキュメントで最新の管理機能を確認するのがよいと思います。
導入検討時は公式ドキュメントで最新の管理機能を確認するのがよいと思います。
よくある質問
室谷代表取締役最後に、よく聞かれそうな点を整理しておきますね。
テキトー教師DotAI 認定講師まず「いつ起きたのか」。発覚は2026年10月29日で、改ざん版拡張の公開は同日のPT 2:27から13:35までの約11時間です。
詳細報告は11月13日、攻撃者の最終活動は11月1日でブロック済みと公式が述べています。
詳細報告は11月13日、攻撃者の最終活動は11月1日でブロック済みと公式が述べています。
室谷代表取締役「自分は影響を受けているか」。改ざん版はAnthropic.claude-codeの2.1.312と2.1.313、WindowsとmacOSです。
10月29日の該当時間帯にCursorのマーケットプレイスからインストールまたは更新した場合は、公式の確認コマンドと対処スクリプトを実行してください。拡張のアンインストールだけでは不十分な場合があります。
10月29日の該当時間帯にCursorのマーケットプレイスからインストールまたは更新した場合は、公式の確認コマンドと対処スクリプトを実行してください。拡張のアンインストールだけでは不十分な場合があります。
テキトー教師DotAI 認定講師「通知が来ていなければ安全か」。公式は、影響を受けた顧客には個別に連絡済みで、通知が来ていなければそのデータはトレースに含まれていないと述べています。
ただし拡張の影響確認は別途必要なので、該当バージョンを入れた心当たりがあれば確認を。
ただし拡張の影響確認は別途必要なので、該当バージョンを入れた心当たりがあれば確認を。
室谷代表取締役「Cursorアプリ自体は危険なのか」。公式は、本番システムとインフラ、アプリ本体と公式アップデート、配布コードは影響を受けていないとしています。
攻撃者がアクセスしていない別のコードホスティングシステムから配布しており、リリース署名鍵も漏れていない、と。
攻撃者がアクセスしていない別のコードホスティングシステムから配布しており、リリース署名鍵も漏れていない、と。
テキトー教師DotAI 認定講師「他の拡張機能は大丈夫か」。公式は他の拡張機能の真正性を検証し、マーケットプレイスをレビューして再構築したと述べています。
Open VSXにもマルウェアは入っていません。
Open VSXにもマルウェアは入っていません。
室谷代表取締役「問い合わせ先は」。security@cursor.comです。
続報があれば公式ブログで更新される方針なので、一次情報を追うのが基本ですね。
続報があれば公式ブログで更新される方針なので、一次情報を追うのが基本ですね。
テキトー教師DotAI 認定講師今回の件は、AIコーディングツールの利便性と配布経路の信頼性が表裏一体だということを示す事例です。単に一つの拡張機能を消す話じゃないんですよ。
日頃の認証情報管理と更新統制を見直すきっかけにしたいですね。
日頃の認証情報管理と更新統制を見直すきっかけにしたいですね。
室谷代表取締役そうですね。便利さに慣れているほど、更新の自動適用や権限の広さを一度立ち止まって確認する。
それが結果的に開発速度を守ることにつながるんだと思います。
それが結果的に開発速度を守ることにつながるんだと思います。
