Cursor'ın eklenti mağazası, Anthropic adıyla arka kapılı bir Claude Code eklentisi dağıttı

Ne oldu?

29 Ekim 2026’da, Pasifik saatiyle yaklaşık 02:27 ile 13:35 arasında (Türkiye saatiyle 12:27–23:35), Cursor’ın kendi eklenti mağazasında Anthropic.claude-code eklentisinin 2.1.312 ve 2.1.313 sürümleri yayındaydı. İkisi de değiştirilmişti ve Windows ile macOS için dağıtıldı. Cursor’ın X’teki açıklamasına göre en fazla 5.000 kişi bu sürümü kurdu. Zararlı kodu ilk fark eden, uç nokta güvenliği şirketi Phorion oldu.

Anthropic’ten Felix Rieseberg, kendi sistemlerinin ya da çalışan bilgisayarlarının ele geçirilmediğini söyledi: Biri Cursor’ın mağazasına erişip Anthropic’in yapmadığı bir kopya yayınlamış. Microsoft, VS Code Marketplace’te ve npm paketinde bu sürümün hiç olmadığını doğruladı. Anthropic, Open VSX’teki sürümün de etkilenmediğini söylüyor. Saldırganın mağazaya nasıl girdiği henüz açıklanmadı.

Eklenti ne yapıyordu?

Zararlı kod extension.js dosyasının en başına eklenmişti. Kodun geri kalanı aynıydı. Yani eklenti normal çalışıyor, ama editör onu yüklediği anda arka planda şunları yapıyordu:

• Anahtar ekleme: ~/.ssh/authorized_keys dosyasına svc-telemetry etiketli bir anahtar yazıyordu. Bu dosya, “bu anahtarı tutan kişi şifresiz giriş yapabilir” listesi. Oraya eklenen anahtar, saldırgana kalıcı bir kapı demek.
• Ters tünel: Yerel SSH servisini açmaya ve saldırganın sunucusuna dışarıya doğru bir SSH bağlantısı kurmaya çalışıyordu. Bu bağlantı ters çalışıyor: Saldırgan, güvenlik duvarının arkasındaki makinene bu tünelden girebiliyor.
• Kalıcılık: macOS’ta com.apple.sysmond adlı sahte bir LaunchAgent, Windows’ta SysMon adlı bir zamanlanmış görev kuruyordu. Tüneli yaklaşık dakikada bir yeniden deniyordu.
• Keşif: Bilgisayar adını, kullanıcıyı, işletim sistemini, Git e-postasını, dış IP’yi ve ortam değişkenlerinin adlarını saldırgana gönderiyordu.

Cursor’a göre SSH’ı açmak yönetici yetkisi istiyor, çoğu makinede bu adım muhtemelen başarısız oldu. Ama anahtar yine eklendi, kalıcılık yine kuruldu.

Neden Cursor’ın kendi mağazası?

Cursor, Windsurf gibi editörler VS Code’un açık kaynak kodundan türetilmiş çatallar. Microsoft’un eklenti mağazasının kullanım koşulları ise eklentileri yalnızca Microsoft’un kendi ürünlerinde kullanmaya izin veriyor. Bu yüzden çatallar ya Eclipse Vakfı’nın yönettiği açık kayıt Open VSX’e ya da kendi mağazalarına yöneliyor. Eklenti aynı ada sahip olsa da, sana ulaşan dosya o mağazanın sunucusundan geliyor.

“Doğrulanmış yayıncı” rozeti de mağazanın kendi kaydına dayanıyor. Open VSX’te rozet, isim alanının (namespace) sahibinin ve yayını yapanın o alanın üyesi olduğunun onaylandığını gösteriyor. Mağazanın kendisine erişen biri için ise isim de rozet de bir şey kanıtlamıyor. Bu olayda olan tam olarak bu.

Şimdi ne yapmalısın?

• Cursor kullanıyorsan ve o gün Claude Code eklentisi güncellendiyse, sürüme bak. 2.1.312 ya da 2.1.313’ü gördüysen etkilenmiş say.
• grep svc-telemetry ~/.ssh/authorized_keys ile anahtarı ara. Windows’ta C:\ProgramData\ssh\administrators_authorized_keys dosyasına da bak. Phorion, sadece etikete değil anahtarın parmak izine de bakmanı öneriyor.
• Eklentiyi kaldırmak yetmiyor. Cursor’ın yayınladığı temizleme betiklerini çalıştır ya da en iyisi makineyi sıfırdan kur.
• O makineden erişilebilen anahtarları ve oturumları başka, güvendiğin bir bilgisayardan değiştir. Bunun neden önemli olduğunu LiteLLM saldırısı yazımızda anlatmıştık.

Editörün kendisinin saldırı yüzeyi olduğunu ilk görüşümüz değil: Shai-Hulud da VS Code görevlerine saklanıyordu.

Düşün

• Editöründe kurulu eklentilerin hangi mağazadan geldiğini biliyor musun?
• authorized_keys dosyana en son ne zaman baktın? İçindeki her anahtarın kime ait olduğunu söyleyebilir misin?

Kendi cümlelerimizle yazılmış bir özettir, çeviri değildir. Tüm kaynaklar yukarıda.