Cursorマーケットプレイス上の公式Claude Code拡張機能がトロイの木馬化される

Cursorマーケットプレイス上の公式Claude Code拡張機能がトロイの木馬化される

The Hacker News – Oct 30, 2026

Cursor VS Code 拡張機能マーケットプレイスで、公式Claude Code拡張機能のトロイの木馬版が公開されるサプライチェーン攻撃が発生。正規のアップデートを装ったこの改変版は、悪意あるコードを実行し、永続的なSSHバックドアのインストールを試みるものだったという。

Cursorによると、公開された悪意あるアップデートはバージョン2.1.312および2.1.313（WindowsおよびMacOS版）。いずれもアンソロピック社の正規のClaude Code拡張機能ID（anthropic.claude-code）を使って公開されているが、Cursorはアンソロピックが開発したものではないと注記している。同社によれば、悪意あるバージョンは以下の動作を実行する仕組みになっていたという。

• ホストおよびユーザーの情報の収集および報告（ホスト名、ユーザー名、OS、アーキテクチャ、ホームディレクトリのパス、環境変数名、作業ディレクトリ、設定済みのGitメールアドレス、パブリックIP）
• リバースSSHトンネルの開設
• リバースSSHトンネルの永続化

悪意あるコードは、攻撃者が管理するSSHキーを「authorized_keys」に追加し、ローカルのSSHサービスを有効にして、リバースSSHトンネルを開こうと試みる。ただし、このコードにはエラーがあることから、「Cursorを管理者権限で起動していた」という極めて稀なケースを除きこの試みは失敗するとされる。

なお、Cursorはサーバーをホストしていたクラウドプロバイダーと連携してサーバーをオフラインにする措置を実施済み。これにより、リバースシェルおよびホスト詳細のPOSTは機能しなくなっているという。また、ローカルのSSHサービスを有効にするには管理者権限が必要となるが、ほとんどのmacOSおよびWindowsホストでは、悪意ある拡張機能にこの権限はないことから、そうしたホストでは攻撃者がトンネル経由でログインできた可能性はないとされる。一方でCursorは、この拡張機能により「攻撃者のSSHキーの追加、永続化の仕組みのインストール、攻撃者へのホスト詳細の送信は実行された」とコメントしている。

Cursorは一時的にマーケットプレイスを閉鎖し、侵害されたパッケージを除去する措置を実施済み。影響を受けるのは同マーケットプレイスを通じて配布されたアップデートのみで、Open VSXやマイクロソフトの公式VS Codeマーケットプレイスに攻撃が到達した形跡はないという。アンソロピック側も、影響を受けるのはCursorユーザーのみであり、VS CodeおよびOpenVSXを含む同社の公式チャネル上のバージョンは影響を受けていないと明記した。同社はまた、アンソロピック自体のシステムが侵害されたわけではないと強調している。一方で、悪意あるバージョンがどのように公開されたのか、その正確な手口はわかっていない。

Cursorによれば、このインシデントにより影響を受けるのは2026年10月29日19:27〜30日6:35（日本時間）の間に悪意あるバージョンをインストールした最大5,000人のユーザー。該当するユーザーには、ホストの隔離、不正なSSHキーおよび永続化メカニズムの削除、また認証情報・セッションのローテーションを行うことが推奨されている。

Androidの新たなエクスプロイト「SMS of Death」により、リモートで未パッチ端末をクラッシュさせることが可能に（CVE-2026-58882）

BleepingComputer – October 31, 2026

最近修正されたAndroidの脆弱性「SMS of Death（CVE-2026-58882）」のPoCエクスプロイトを、セキュリティ研究者のMark Blah氏がリリース。このエクスプロイトは、特別に細工されたテキストメッセージを送付することによりリモートで対象端末をクラッシュさせるものだという。

問題のゼロクリックDoSの脆弱性CVE-2026-58882は、ターゲットユーザー自身による操作を一切必要とせずに緊急通話を含む進行中の通話を阻害できる恐れがある。また、AndroidではSMSメッセージを、これが受信ボックスに到達する前に処理することから、被害者は何が原因で自身の携帯端末がクラッシュしているのかを視覚的に確認することができなくなるという。

Blah氏によると、Googleは2026年10月のAndroid 14〜17向けセキュリティアップデートにおいてCVE-2026-58882を修正済みとされる。ただ、同社の10月のセキュリティブレティンに同脆弱性の記載はなく、また古いAndroid 12および13デバイスについては修正を受け取っていないことから脆弱なままだという。

Blah氏の公開した技術的分析によると、この脆弱性はAndroidのWapPushOverSms.decodeWapPdu関数におけるヘッダー長の値の不適切な検証に起因。悪用するには、標的とする電話番号宛に、「01 06 88 80 80 80 00 BE」のような不正な形式の8バイトのWAPプッシュメッセージを送信すれば良いという。この値を境界チェックを行わずに符号付き32ビット整数に変換すると「-2147483648」となり、Androidがこの負の値を使用してメモリを割り当てようとするとNegativeArraySizeExceptionが発生し、com.android.phoneプロセスがクラッシュ。com.android.phoneは携帯電話機能を管理するプロセスであるため、このクラッシュによりモバイル通信が中断され、進行中の通話（緊急サービスへの通話を含む）が切断されてしまうとされる。

Blah氏のテストでは、20通の悪意あるメッセージによって標的端末をリブートループに陥れることが可能であることもわかっている。Android 12デバイスでは、端末が90秒ごとにリカバリーモードに入り、ファクトリーリセットを行わなければ復旧できなくなったとされる。

Androidのセキュリティアップデートは一般的に自動でサポート対象のデバイスにインストールされるが、自動アップデートが可能かどうかはデバイスメーカーやキャリアによっても異なる。すでに有効なPoCエクスプロイトが公開されていることから、Androidユーザーには最新のセキュリティアップデートのインストールが強く推奨されている。