Cursor alerta por versiones maliciosas de Claude Code: qué revisar y quiénes podrían estar afectados
Una extensión de programación con inteligencia artificial puede tener acceso al mismo computador donde un equipo guarda código, archivos de trabajo y credenciales. Por eso, un problema en el canal que distribuye una extensión no se limita a una respuesta equivocada de un chatbot: puede afectar la seguridad del equipo que la instaló.
Cursor informó de un incidente que involucró versiones maliciosamente modificadas de la extensión Anthropic.claude-code en su marketplace de extensiones de VS Code. El aviso, fechado el 29 de octubre de 2026 y actualizado el 30 de octubre, identifica las versiones 2.1.312 y 2.1.313 para Windows y macOS. Cursor afirma que esas versiones maliciosas no fueron desarrolladas por Anthropic.
La empresa sitúa la ventana de distribución aproximadamente entre las 2:27 y las 13:35, hora del Pacífico, del 29 de octubre. Su orientación se dirige a quienes instalaron o actualizaron esas versiones desde el marketplace de Cursor durante ese intervalo. La información disponible no demuestra que todos los usuarios de Claude Code o todos los equipos que usan Cursor estén afectados.
Qué ocurrió y qué alcance se conoce
Según Cursor, una versión modificada de la extensión quedó disponible en su marketplace y ejecutaba código que intentaba instalar una puerta trasera SSH persistente. SSH es una tecnología utilizada para acceder a equipos de forma remota; una clave no autorizada y una conexión indebida pueden abrir una vía de acceso si se cumplen las condiciones técnicas necesarias.
El aviso señala que la empresa retiró la versión maliciosa, bloqueó su distribución y apagó temporalmente el marketplace por precaución. Después, indica que auditó los accesos, rotó sus claves, reconstruyó el servicio y lo puso nuevamente en línea. También afirma que coordinó con el proveedor de alojamiento la desconexión del servidor utilizado por el atacante.
Estos son los hechos comunicados por Cursor. El aviso consultado no explica de manera concluyente cómo se introdujo la modificación en el canal de distribución. Tampoco entrega en su versión actual un número de usuarios afectados que permita cuantificar de forma independiente el alcance.
Qué intentaba hacer el código
Cursor describe recopilación y envío de datos del equipo y del usuario, incluidos nombre de host, usuario, sistema operativo, directorios de trabajo, correo configurado en Git, dirección IP pública y nombres de variables de entorno. El aviso menciona nombres de variables, no prueba que el código inicial haya enviado los valores de todas las credenciales presentes.
La extensión intentaba agregar una clave SSH controlada por el atacante, activar el servicio SSH local y abrir un túnel inverso. También intentaba mantener ese túnel mediante mecanismos de persistencia propios del sistema operativo. La empresa indica que errores en el código y la falta habitual de privilegios administrativos hacían fallar la activación del servicio en la mayoría de los equipos Windows y macOS.
Esa limitación no elimina la necesidad de revisar un equipo potencialmente expuesto. Cursor señala que la clave, mecanismos de persistencia y envío de datos del host podían existir incluso cuando el atacante no lograba iniciar sesión por el túnel. El proveedor recomienda seguir sus pasos de remediación de todas formas.
La actualización del 30 de octubre importa
La versión actual del comunicado amplió y aclaró los indicadores y las versiones identificadas. Por eso conviene consultar directamente la página oficial vigente antes de decidir si una instalación está dentro del alcance. Resúmenes anteriores que mencionen solo 2.1.313 pueden quedar incompletos frente al aviso actualizado, que incluye también 2.1.312.
Cursor publica en su aviso identificadores de archivos, hashes y otros indicadores para apoyar una investigación. Tener una versión con el mismo número no demuestra por sí solo que un equipo recibió el paquete modificado: también importan la procedencia, la plataforma, la ventana y la evidencia del dispositivo.
Qué recomienda Cursor a las personas potencialmente afectadas
Para instalaciones o actualizaciones dentro del alcance comunicado, Cursor recomienda revisar los indicadores publicados y la telemetría de instalación, dispositivos y red. Si hay evidencia de ejecución del código o instalación de la puerta trasera, indica aislar el equipo y evaluar si es necesario reconstruirlo.
La compañía también recomienda eliminar la clave no autorizada, los mecanismos de persistencia y los procesos de túnel que se encuentren, además de rotar desde un sistema confiable las credenciales y sesiones accesibles desde los equipos afectados. Su aviso enlaza herramientas de remediación para macOS y Windows.
Es importante seguir las instrucciones oficiales vigentes y adaptar la respuesta a los procedimientos de seguridad de cada organización. Desinstalar la extensión puede no ser suficiente, porque, según Cursor, el código deja componentes de persistencia independientes. En una empresa, el equipo de seguridad debe evaluar la evidencia antes de intervenir o declarar un dispositivo limpio.
Por qué una extensión puede tener tanto impacto
Un editor de código no solo muestra texto. Las extensiones pueden interactuar con el sistema, leer directorios del proyecto y ejecutar procesos según los permisos disponibles. Si el paquete distribuido cambia de manera maliciosa, la confianza depositada en el nombre y en la funcionalidad de una herramienta puede trasladarse a código que el usuario nunca quiso ejecutar.
La situación ilustra un riesgo de cadena de suministro de software: el punto comprometido puede estar en un paquete o canal de distribución, aunque el usuario haya comenzado buscando una herramienta legítima. Para los equipos que trabajan con agentes de IA, este riesgo se suma a la necesidad de controlar accesos a repositorios, secretos, servicios externos y acciones automatizadas.
La respuesta no consiste en asumir que toda extensión de IA es maliciosa. Consiste en identificar las fuentes de instalación, mantener inventarios, limitar privilegios cuando sea posible y disponer de procedimientos para detectar y gestionar cambios no esperados. Los controles concretos dependen de cada entorno y de sus riesgos.
Qué sigue sin estar confirmado
El comunicado no acredita que el producto oficial de Anthropic en todos sus canales estuviera comprometido. Cursor afirma que no tiene evidencia de afectación de otras versiones o de la distribución oficial y que sus hallazgos se refieren al paquete identificado. Esa declaración debe leerse en su alcance y momento, sin convertirla en una garantía sobre cualquier instalación.
También quedan abiertas preguntas sobre el origen de la modificación y el impacto real por equipo. Esta noticia no ha revisado instalaciones, registros ni credenciales de sus lectores; la ausencia de un indicador aislado tampoco sustituye una investigación completa cuando existen otras señales de exposición.
Preguntas frecuentes
¿Qué versiones menciona el aviso actualizado?
Cursor identifica 2.1.312 y 2.1.313 de Anthropic.claude-code para Windows y macOS en su marketplace, dentro de la ventana descrita para el 29 de octubre de 2026.
¿Todos los usuarios de Claude Code están afectados?
No hay evidencia para afirmarlo. El aviso se refiere a paquetes identificados en el marketplace de Cursor y distingue sus hallazgos de otras versiones y de la distribución oficial.
¿Basta con desinstalar la extensión?
Cursor advierte que puede no bastar, porque el código puede dejar mecanismos de persistencia independientes. Recomienda revisar y remediar de acuerdo con su aviso.
¿Un intento de túnel implica que hubo acceso remoto?
No necesariamente. Cursor explica que el acceso dependía, entre otros factores, de la activación de SSH y de privilegios; se necesita evidencia del equipo para determinar qué ocurrió.
