Brecha de seguridad en Cursor con extensión maliciosa de Claude Code

Qué ha ocurrido

Cursor, el editor de código con inteligencia artificial construido sobre Visual Studio Code, ha confirmado que una brecha de seguridad permitió a un atacante distribuir una extensión maliciosa de Claude Code a través de su marketplace. La compañía publicó el 13 de noviembre de 2026 una actualización del incidente en la que reconstruye la cadena de ataque y cifra su alcance: como máximo 5.000 desarrolladores que solicitaron versiones concretas de la extensión durante la ventana de exposición pudieron recibir el build modificado.

El aviso llega dos semanas después de que Cursor alertara, el 29 de octubre, de la aparición de copias no autorizadas de la extensión de Anthropic. Entonces la compañía no llegó a explicar cómo se habían publicado bajo el nombre de Anthropic; la actualización cierra esa incógnita.

Cómo entró el atacante: una clave de Fireworks AI

Según Cursor, el punto de entrada no fue un fallo de sus sistemas de producción, sino una clave de acceso que la compañía había emitido para Fireworks AI, su proveedor externo de entrenamiento e inferencia de modelos. Cursor asegura que la clave fue expuesta por Fireworks y que el atacante la usó para copiar datos de un bucket de almacenamiento de solo lectura que Cursor compartía con ese proveedor.

Ese bucket contenía trazas históricas del agente de codificación, en su mayoría de 2025, recogidas de sesiones que no estaban en el Modo Privado y que la compañía podía usar para entrenar modelos. Algunas de esas trazas incluían credenciales que no se habían redactado.

Con esas credenciales, el atacante llegó a varias herramientas SaaS internas de Cursor. La compañía detalla lo que se accedió: repositorios archivados de código no producción, algunos con información de contacto comercial; datos limitados de soporte y conversaciones por correo electrónico; métricas de uso y datos de contacto de clientes; resúmenes de algunas conversaciones del agente; y credenciales que los propios clientes habían enviado al equipo de soporte.

Cursor cuantifica el alcance con dos ratios: menos del 0,05 % de los usuarios vio expuestas sus trazas y menos del 0,01 % de los clientes tuvo credenciales de API comprometidas. La compañía subraya que los prompts y el código de quienes usan el Modo Privado no se vieron afectados.

La extensión maliciosa y el intento de puerta trasera

El 29 de octubre, el atacante usó una credencial robada para publicar copias maliciosas de la extensión Anthropic.claude-code directamente en la caché que sirve el marketplace de extensiones de Cursor. Anthropic no publicó esas copias y, según Cursor, no se trató de una vulnerabilidad del producto de Anthropic: el repositorio original de extensiones, Open VSX, nunca alojó el malware.

Las versiones afectadas fueron la 2.1.312 y la 2.1.313, disponibles durante unas once horas antes de que Cursor las retirara. Los investigadores de Phorion y OpenSourceMalware analizaron el paquete y comprobaron que el código malicioso era un cargador JavaScript de 66 líneas insertado al principio del extension.js legítimo, que se ejecuta al cargar la extensión sin necesidad de que el usuario interactúe con Claude Code.

El malware recopila información del sistema y del usuario, incluidos el correo de Git y la dirección IP pública; añade una clave SSH controlada por el atacante; intenta habilitar el servicio SSH y establecer un túnel inverso hacia 134.209.82.225; instala persistencia mediante un LaunchAgent en macOS o una tarea programada o un script de arranque en Windows; y envía datos de reconocimiento del equipo al servidor del atacante.

Phorion encontró errores de programación que probablemente impidieron que la puerta trasera funcionara en muchos equipos con Windows y macOS donde SSH no estaba ya activado. En macOS, el malware comprueba el estado de Remote Login con systemsetup -getremotelogin sin privilegios de administrador, y el comando devuelve un error con estado de salida 0, de modo que el script omite el paso de activación. En Windows, intenta instalar el servidor OpenSSH mediante /bin/sh, un intérprete que no existe en una instalación estándar. Aun así, la clave SSH y la persistencia sí llegan a instalarse, y el equipo sigue enviando datos de reconocimiento.

Lo que se robó y a quién afectó

La brecha no se limitó al marketplace. Cursor ha explicado que los atacantes copiaron repositorios archivados de código no producción, algunos con información de contacto comercial; leyeron datos limitados de soporte y conversaciones por correo; extrajeron métricas de uso y datos de contacto; y se hicieron con resúmenes de conversaciones del agente y con credenciales que los clientes habían compartido con soporte.

La compañía dice que sus sistemas de monitorización detectaron la actividad no autorizada, lo que le permitió desactivar la clave del proveedor, abrir un trabajo de respuesta, revocar y rotar credenciales y buscar accesos adicionales. Durante la investigación, Cursor desactivó temporalmente servicios internos y de producto por precaución, más allá de lo que exigía la evidencia, y eso interrumpió algunas funciones. Asegura que la última actividad del atacante que detectó fue el 1 de noviembre y que fue bloqueada, y que cree el incidente contenido.

Lo que no se vio afectado

Cursor enumera una lista larga de activos que no se comprometieron: los prompts y el código de los usuarios con Modo Privado; los datos y el tráfico en vivo que se envía a Cursor en este momento; los sistemas de producción que la compañía opera; la aplicación Cursor y sus actualizaciones oficiales, que se publican desde un sistema de alojamiento de código distinto al que accedió el atacante y cuyas claves de firma no se expusieron; y los repositorios de código de los clientes. La compañía validó que el resto de extensiones de su marketplace eran auténticas y reconstruyó el marketplace.

Por qué importa

El incidente es un caso de libro de ataque a la cadena de suministro del software de desarrollo, con un agravante: el vector de entrada fue una credencial de un proveedor externo y un archivo de datos que la compañía compartía para entrenar modelos, no un fallo en la aplicación que miles de desarrolladores usan a diario. Las trazas de un agente de codificación, que incluyen código y contexto de trabajo, se convierten así en un almacén de secretos si no se redactan.

Además, el objetivo final era la máquina del desarrollador. Una extensión con permisos de editor puede leer ficheros locales, código fuente y herramientas de desarrollo; convertirla en un mecanismo de persistencia con clave SSH y túnel inverso da al atacante una vía de acceso interactivo a equipos que a menudo contienen credenciales de producción.

El caso también deja una lección sobre los límites de la respuesta: Cursor reconoce que desactivó servicios por precaución más allá de lo que exigía la evidencia, y que la cadena completa es su propia reconstrucción. Fireworks AI, por su parte, no menciona a Cursor en su actualización del 9 de noviembre, y la atribución de la clave expuesta parte del relato de Cursor.

Qué sigue sin saberse

• Quién está detrás del ataque. Ni Cursor ni Fireworks han atribuido la campaña a un grupo concreto en sus actualizaciones.
• El alcance real de los equipos comprometidos por la extensión, más allá de la estimación de 5.000 usuarios que pudieron recibirla.
• Si las credenciales robadas de las trazas llegaron a usarse contra servicios de terceros, más allá del acceso a los sistemas de Cursor.

Qué hacer si usas Cursor

Cursor pide a quienes instalaran o actualizaran a las versiones 2.1.312 o 2.1.313 durante la ventana de exposición que sigan su aviso de seguridad, y advierte de que desinstalar la extensión puede no ser suficiente. BleepingComputer recomienda comprobar la presencia de una clave SSH llamada svc-telemetry y, si hay impacto confirmado, aislar el equipo, rotar los secretos accesibles, invalidar sesiones y reconstruir el entorno desde copias de seguridad seguras.