El 31 de octubre de 2026, hora de Beijing, Cursor seguía gestionando un incidente de seguridad de la cadena de suministro en su mercado de extensiones de VS Code. La empresa actualizó su aviso oficial el 30 de octubre a las 11:30 a. m. del Pacífico, añadió indicadores de compromiso y precisó que las versiones afectadas eran Anthropic.claude-code 2.1.312 y 2.1.313. El aviso afirma que esas dos versiones modificadas de forma maliciosa fueron distribuidas por el mercado de Cursor a usuarios de macOS y Windows y no fueron desarrolladas por Anthropic; el alcance divulgado no incluye los canales oficiales de Anthropic.
Ventana de distribución y alcance de recopilación de datos
Cursor indica que las versiones maliciosas estuvieron disponibles para instalación o actualización entre las 2:27 horas de la madrugada del 29 de octubre de hora del pacífico y las 1:35 horas de la tarde, durante aproximadamente 11 horas y 8 minutos. La oficial limitó el alcance de la respuesta a dispositivos macOS y Windows que obtuvieron estas dos versiones desde el mercado de extensiones de Cursor. El comunicado no incluyó en el rango de impacto otras versiones de Claude Code, otras extensiones del mercado o versiones oficiales de Anthropic, tampoco se especificó si el mismo software había aparecido a través de otros canales de terceros, y los materiales actuales no permiten ampliar el límite de distribución basándose en ello.
Según el comunicado de Cursor, el código malicioso recopilaría y enviaría nombres de host, nombres de usuario, sistemas operativos, arquitectura del procesador, rutas del directorio principal del usuario, nombres de variables de entorno, directorios de trabajo, correos electrónicos de configuración de Git y direcciones IP públicas. El comunicado enumera información de identificación del entorno y del host, sin revelar el volumen de registros enviados, la duración del proceso o la situación real de almacenamiento en el receptor, tampoco confirmando que cada dispositivo instalado haya completado todas las acciones de recopilación. Los reportes no pueden mezclar el comportamiento del código, una sola instalación de exposición y los resultados confirmados de filtración de datos como si fueran el mismo hecho.
Ruta SSH y límites de ejecución reales
Cursor también indicó que el código intentará agregar la clave pública controlada por el atacante al archivo de claves autorizadas, habilitar el servicio SSH local y establecer un túnel SSH inverso. La parte persistente utiliza LaunchAgent en macOS y trata de crear una tarea programada con privilegios de sistema en Windows, recurriendo a scripts de inicio cuando falla; el script en segundo plano reintenta el túnel aproximadamente cada 60 segundos. El aviso proporciona simultáneamente dos versiones con hash de archivos, indicadores de procesos, red y claves en diferentes sistemas, pero este artículo no reproduce el código ejecutable de limpieza ni los materiales de ataque completos.
Los resultados de estas acciones deben expresarse por separado. Cursor mencionó que habilitar el servicio SSH local normalmente requiere privilegios de administrador, y el propio código malicioso contiene errores, por lo que en la mayoría de dispositivos macOS y Windows donde Cursor no se ejecuta con privilegios de administrador, este paso fallará y el atacante no podrá iniciar sesión a través del túnel correspondiente. Sin embargo, la compañía también indicó que la extensión aún podría escribir la clave pública del atacante, instalar componentes persistentes y enviar información del host. El fracaso de la primera acción no puede transformarse en que todo el paquete malicioso no se ejecutó, ni se puede inferir que cada dispositivo haya sido controlado remotamente.
Respuesta de la plataforma y remediación para usuarios
Cursor indicó que tras descubrir el incidente, retiró la versión maliciosa del mercado y detuvo su distribución continua, posteriormente cerró todo el mercado de extensiones por precaución. La empresa afirmó que auditó los registros de acceso y no encontró otras extensiones que hubieran sido comprometidas; después rotó sus propias claves, reconstruyó el mercado y lo restauró en línea. Cursor también comentó que trabajó con proveedores de alojamiento para desconectar los servidores del atacante, por lo tanto, los puntos finales de envío de información de shells y hosts listados oficialmente ahora están inaccesibles. Todos estos estados de manejo provienen de los anuncios de Cursor, no son conclusiones de auditorías de seguridad independientes.
Para usuarios que instalaron o actualizaron ambas versiones durante el período especificado del mercado de Cursor, se requiere ejecutar primero su herramienta de verificación, luego revisar la telemetría de puntos finales, redes y extensiones instaladas, e isolar hosts que muestren señales de ejecución de carga útil o puerta trasera. Si se encuentran rastros relacionados, el alcance del manejo incluye eliminar claves SSH no autorizadas, mecanismos de persistencia y procesos de túnel, y evaluar si reconstruir el host; se pueden rotar credenciales y sesiones accesibles desde hosts afectados desde dispositivos de confianza. Cursor especificó que solo desinstalar la extensión puede no ser suficiente para eliminar scripts persistentes que se ejecutan independientemente.
Verificación de medios y cuestiones no confirmadas
Ars Technica registró en su flujo de información pública el mismo evento el 30 de octubre de 2026 a las 21:09:54 horas. El título resumió el riesgo indicando que la extensión de VS Code de Anthropic en Cursor presentaba un backdoor durante cerca de 12 horas. Su breve resumen solo añadió un detalle limitante: aún no se sabe cómo el atacante logró obtener acceso a una cuenta verificada en el mercado de Cursor de Anthropic. Esta entrada coincide con la descripción oficial sobre los canales de distribución y la duración del incidente, y este artículo no utilizó el cuerpo del texto ni las imágenes de dicha publicación, tampoco atribuyó detalles adicionales al título o al resumen breve más allá de lo proporcionado por ese medio.
Los materiales actuales aún presentan varias lagunas. Cursor no reveló en la declaración en inglés que se utilizó en este informe el número de usuarios afectados confirmados, ni identificó a los atacantes, ni explicó cómo accedieron a las cuentas verificadas, ni detalló los resultados reales de ejecución en cada dispositivo instalado ni el alcance completo de los credenciales accedidos. La antigua versión localizada de la declaración solo incluía la versión 2.1.313, mientras que la actual declaración en inglés fue actualizada el 30 de octubre y ahora enumera las versiones 2.1.312 y 2.1.313, por lo que este artículo adopta esta última y conserva el proceso por el cual se aclaró la lista de versiones. Las pruebas actuales solo respaldan ciertos mercados, sistemas, versiones y períodos específicos, no pueden extrapolarse para afirmar que todo el ecosistema Claude Code fue comprometido.