Imagem: logotipo do Cursor, em domínio público (Wikimedia Commons). A marca pertence à Anysphere.

Extensão adulterada do Claude Code no marketplace do Cursor instalava chave SSH de invasores

A versão 2.1.313 afetou até 5 mil usuários. Quem instalou deve procurar a chave "svc-telemetry" e trocar credenciais.

Em 29 de outubro de 2026, o Cursor divulgou um incidente de segurança: uma versão maliciosa da extensão Anthropic.claude-code (2.1.313) esteve disponível no marketplace de extensões do editor. A Sophos informa que ela ficou no ar entre cerca de 9h27 e 20h35 (UTC), e as reportagens falam em até 5 mil usuários afetados, em sistemas macOS e Windows.

Segundo a OX Security e a The Hacker News, a versão adulterada adicionava uma chave SSH controlada pelos atacantes, instalava um mecanismo de persistência e enviava dados da máquina para fora, como informações do sistema e do usuário. A extensão foi substituída pela versão 2.1.314.

O que fazer se você instalou

As orientações divulgadas pela cobertura são: procurar e remover a chave SSH identificada como "svc-telemetry" na lista de chaves autorizadas, e trocar as credenciais que estavam no computador (chaves, tokens e senhas). Apenas desinstalar a extensão pode não resolver, porque o acesso deixado pelo atacante continua ativo. Confira o aviso oficial do Cursor para o passo a passo atualizado.

Como reduzir o risco no futuro

Veja o nosso guia de como saber se uma extensão do editor de código é segura.