Uma versão adulterada da extensão do Claude Code foi distribuída pelo marketplace do Cursor e tentou instalar uma porta de acesso remoto persistente nas máquinas dos usuários. O incidente ocorreu em 29 de outubro de 2026 e ganhou nova repercussão em 31/10, com um relatório da Cloud Security Alliance.

Esta é uma leitura dos avisos técnicos publicados pelas empresas envolvidas, com foco em quem usa IA para criar produtos. O alerta prático é direto: quando o código malicioso cria mecanismos próprios para continuar rodando, apagar a extensão pode deixar parte do problema no computador.

Quem foi exposto à extensão adulterada?

O aviso do Cursor identifica as versões 2.1.312 e 2.1.313, para macOS e Windows, distribuídas pelo seu marketplace em 29/10. A janela informada vai das 2h27 às 13h35 no horário do Pacífico, aproximadamente 6h27 às 17h35 de Brasília, naquele dia.

São 11 horas e 8 minutos de exposição potencial. Isso não significa que qualquer pessoa que abriu o Cursor nesse intervalo teve o computador invadido: é preciso verificar origem da instalação, pacote recebido e vestígios de execução.

A Sophos cita uma estimativa inicial de até 5 mil usuários afetados. A CSA registra que o aviso revisado do Cursor deixou de apresentar essa contagem. Portanto, 5 mil não é um total confirmado de invasões bem-sucedidas.

Como um pacote com o nome certo virou ameaça?

O detalhe destacado pela CSA é que o pacote usava o identificador legítimo anthropic.claude-code. Não era necessário confundir o leitor com uma letra trocada no nome de uma extensão famosa.

O nome do publicador, a sequência de versões e o canal integrado ao editor pareciam coerentes. Segundo a análise, a falha de confiança estava na distribuição entre publicador e usuário. A forma exata pela qual o atacante conseguiu publicar naquele identificador ainda não havia sido explicada publicamente.

Para quem cria um SaaS ou trabalha em projetos de clientes, esse é o ponto que merece atenção: conferir o nome continua útil, mas não comprova sozinho a integridade do arquivo instalado.

O que o código malicioso tentava fazer?

A Microsoft analisou o JavaScript injetado e descreveu uma sequência de coleta de informações da máquina, inclusão de uma chave SSH do atacante, tentativa de ativar acesso remoto, criação de um túnel e instalação de persistência. SSH é um mecanismo de conexão remota. Neste caso, era usado para tentar manter um caminho de entrada no computador.

O código começava a executar no carregamento da extensão, antes da inicialização normal. A análise também encontrou coleta de nomes de variáveis de ambiente associadas a credenciais. Nomes não são os valores dos segredos: esse mecanismo, por si só, não demonstra roubo das chaves armazenadas ali.

A Microsoft ressalta que o acesso dependia de privilégios e configurações do computador e do servidor do atacante. Mesmo quando o túnel falhava, poderiam permanecer chaves e arquivos de inicialização. Capacidade prevista no código e ação efetivamente concluída precisam ser investigadas separadamente.

A Anthropic foi invadida?

Segundo a Microsoft, a Anthropic confirmou que seus sistemas não foram comprometidos e que não desenvolveu o pacote malicioso. A investigação também não encontrou distribuição desses pacotes pelo Microsoft Visual Studio Marketplace nem pelo canal npm oficial do Claude Code.

A evidência disponível delimita o incidente ao marketplace do Cursor. Isso evita transformar um problema concreto de distribuição numa afirmação genérica de que todo Claude Code estava infectado.

Por que desinstalar pode não resolver?

Porque a persistência fica fora da extensão. A Sophos recomenda identificar as máquinas expostas, remover chave SSH, mecanismos de inicialização e processos do túnel, além de trocar as credenciais acessíveis.

O Cursor informa que retirou os pacotes, auditou o acesso, trocou suas chaves e reconstruiu o marketplace. Também trabalhou com o provedor para derrubar o servidor malicioso. Para máquinas com evidências de execução, seu procedimento oficial de resposta inclui isolamento, avaliação de reconstrução do sistema e troca de credenciais e sessões a partir de um computador confiável.

Essas medidas respondem a perguntas diferentes: impedir novas instalações, interromper a infraestrutura do atacante e limpar os computadores já expostos. Uma não comprova automaticamente que as outras foram concluídas.

O que esse caso muda para quem cria com IA?

A lição é tratar a instalação de extensões como parte da entrega do produto. Um projeto pode ter código revisado e, ainda assim, depender de uma estação de trabalho comprometida antes de qualquer publicação.

Minha leitura: a confiança precisa acompanhar o pacote até a máquina que cria o software. Para aplicar essa ideia, comece sabendo quais extensões o projeto usa, de onde vieram e quem consegue investigar uma atualização suspeita. É uma decisão de trabalho concreta, especialmente quando existem credenciais de clientes naquele computador.

Se você quer transformar ideias em apps e sistemas com IA, conheça a Formação em Vibe Coding do ibe.IA, voltada à criação de produtos digitais.

Para acompanhar análises sobre as ferramentas que você usa para criar, siga o ibe.IA no Instagram: @ibe.ia.

Fonte

Cursor: Aviso de segurança sobre a extensão adulterada.

Microsoft Security: Análise da extensão e da persistência por SSH.

Cloud Security Alliance: Análise publicada em 31 de outubro.

Sophos: Alerta sobre a distribuição pelo marketplace do Cursor.