Comment la version malveillante de l’extension Claude Code a-t-elle impacté 5 000 utilisateurs de Cursor ?

Le 29 octobre 2026, une surprise désagréable attendait les utilisateurs de Cursor : une extension malveillante, prétendant être développée par Anthropic, a été découverte sur la boutique d’extensions de l’éditeur. Cette version infectée de l’extension Claude Code a été téléchargée par près de 5 000 personnes, menant à des mesures d’urgence pour minimiser les dommages. Que s’est-il passé exactement, et quelles leçons tirer de cet incident ?

L’essentiel à retenir

• Une version malveillante de l’extension Claude Code a été en ligne sur Cursor pendant un peu plus de onze heures.
• Jusqu’à 5 000 utilisateurs ont pu être affectés par ce code non autorisé, conçu pour récolter des informations sensibles.
• Cursor a pris des mesures immédiates pour supprimer l’extension et collaborer avec l’hébergeur pour désactiver le serveur malveillant.

Imaginez-vous, utilisateur fidèle de Cursor, découvrant que votre environnement de développement intégré (IDE) préféré est devenu le vecteur d’une attaque informatique. Vous faites confiance à cet outil pour vos projets quotidiens, mais en un instant, cette confiance est ébranlée. C’est exactement ce qu’ont vécu des milliers d’utilisateurs le 29 octobre dernier, lorsqu’une extension malveillante a été découverte sur la plateforme de Cursor.

Une extension malveillante en ligne pendant onze heures

La version compromise de l’extension Claude Code est restée active pendant un peu plus de onze heures. Elle a été mise à disposition des utilisateurs de Cursor de 10h27 à 21h35, heure de Paris. Une fenêtre durant laquelle le logiciel malveillant a pu être téléchargé par un maximum de 5 000 utilisateurs, selon Cursor.

Le code malveillant avait pour but de collecter des informations sensibles sur les machines des utilisateurs, en récupérant des données telles que le système d’exploitation, l’architecture du processeur, et même des informations personnelles comme l’adresse e-mail associée à Git.

Des mesures immédiates pour contenir la menace

Dès la découverte de cette menace, Cursor a entrepris des actions pour limiter les dégâts. L’extension malveillante a été retirée immédiatement et la boutique d’extensions a été temporairement fermée pour des vérifications approfondies. L’équipe de Cursor a également collaboré avec l’hébergeur du serveur malveillant pour le rendre hors ligne.

Selon les rapports, le programme malveillant incluait une clé SSH appartenant à l’attaquant, ajoutée aux autorisations de connexion de la machine, ainsi que des scripts de persistance. Cependant, des erreurs dans le code ont empêché l’ouverture du tunnel inverse, à moins que Cursor ne soit exécuté avec des privilèges administrateur.

L’origine de l’attaque reste floue

Malgré les efforts pour atténuer l’impact de cette attaque, une question demeure : comment cette version malveillante a-t-elle pu être publiée dans la boutique d’extensions de Cursor ? L’avis de sécurité de Cursor ne fournit pas de détails sur la manière dont l’attaquant a réussi à contourner les protections pour publier une extension sous le nom d’Anthropic.

Les implications pour la sécurité des utilisateurs de Cursor

Les événements récents soulignent l’importance cruciale de la sécurité dans les écosystèmes de développement logiciel. Cursor, en tant qu’IDE populaire, doit garantir que les extensions disponibles sur sa plateforme soient à l’abri des manipulations malveillantes. Pour les utilisateurs, cela signifie être vigilant quant aux permissions accordées aux extensions et privilégier celles provenant de sources vérifiées.

Le renforcement de la sécurité dans le développement logiciel

En réponse à cet incident, Cursor et d’autres éditeurs d’IDE devront probablement renforcer leurs protocoles de sécurité pour éviter que de telles situations ne se reproduisent. Des collaborations avec des experts en cybersécurité peuvent être envisagées pour auditer les extensions avant leur mise en ligne. De plus, l’éducation des utilisateurs sur les risques potentiels liés aux extensions est essentielle pour réduire la surface d’attaque.

FAQ

Quelles informations l’extension malveillante a-t-elle collectées ?

L’extension a été conçue pour récupérer le système d’exploitation, l’architecture du processeur, le chemin du dossier personnel, l’adresse e-mail configurée dans Git, et l’adresse IP publique.

Comment Cursor a-t-il réagi à cette attaque ?

Cursor a retiré l’extension malveillante dès sa détection, fermé temporairement sa boutique d’extensions, et collaboré avec l’hébergeur pour désactiver le serveur malveillant.

Pourquoi l’ouverture du tunnel inverse a-t-elle échoué ?

Des erreurs dans le code malveillant ont empêché l’ouverture du tunnel inverse, sauf lorsque Cursor était exécuté avec des privilèges administrateur.

Comment éviter de telles attaques à l’avenir ?

Il est crucial pour les éditeurs d’IDE de renforcer la sécurité de leurs plateformes et pour les utilisateurs de n’installer que des extensions provenant de sources vérifiées et de rester vigilants quant aux permissions demandées par celles-ci.