Una versión manipulada de Claude Code en Cursor intentó abrir una puerta trasera

Qué ha pasado

Cursor, el editor de código con inteligencia artificial, publicó el 29 de octubre de 2026 un aviso de seguridad: su tienda de extensiones había distribuido una versión alterada de la extensión oficial de Claude Code, el asistente de programación de Anthropic. Una extensión es un complemento que se instala dentro del editor y se ejecuta con los mismos permisos que él.

Según Cursor, las versiones afectadas son la 2.1.312 y la 2.1.313, solo en sus paquetes para Windows y macOS. Estuvieron disponibles desde las 2:27 hasta las 13:35 en la costa oeste de Estados Unidos, es decir, de las 10:27 a las 21:35 en la España peninsular. La empresa calcula que, como mucho, 5.000 usuarios llegaron a descargarlas.

Los primeros informes solo mencionaban la 2.1.313. Cursor aclaró en una actualización del 30 de octubre que las versiones afectadas eran las dos, y la firma de seguridad Phorion, que detectó el problema al analizar un equipo de un cliente, corrigió su propio aviso el 31 de octubre.

Qué hacía el código

Según Cursor y Phorion, el código añadido se ejecutaba en cuanto el editor cargaba la extensión, sin que el usuario hiciera nada. Tenía tres objetivos:

• Recopilar datos del equipo: nombre del equipo y del usuario, sistema operativo, carpetas de trabajo, correo de Git configurado y dirección IP pública. También recogía los nombres, no los valores, de variables de entorno.
• Guardar en el equipo una clave SSH del atacante. SSH es el protocolo con el que se administra un ordenador a distancia; una clave autorizada permite entrar sin contraseña.
• Intentar abrir un túnel inverso hacia un servidor del atacante y mantenerlo tras reiniciar, con reintentos cada minuto aproximadamente.

El fallo del atacante fue que activar SSH exige permisos de administrador, y la extensión no los tiene en casi ningún equipo. Cursor asegura que, salvo circunstancias muy raras, ese paso fallaba y nadie pudo entrar por el túnel. Aun así, la clave se guardó, la persistencia se instaló y los datos del equipo se enviaron.

Cómo se ha respondido

Cursor retiró las versiones al detectarlas, cerró por completo su tienda de extensiones, revisó los accesos, confirmó que ninguna otra extensión estaba alterada, cambió sus propias claves, reconstruyó la tienda y la reabrió. También logró que el proveedor de alojamiento apagara el servidor del atacante.

Anthropic negó que se tratara de una brecha en sus sistemas. Felix Rieseberg, de su equipo técnico, escribió en X que un atacante usó el acceso a la tienda de Cursor para publicar una copia manipulada «que no construimos ni publicamos» (traducción del inglés) y que las versiones de sus canales oficiales no están afectadas. Microsoft, por su parte, afirma que esos paquetes nunca estuvieron en Visual Studio Marketplace.

Cómo comprobar si te afecta y qué hacer

Solo corres riesgo si instalaste o actualizaste la extensión desde la tienda de Cursor en Windows o macOS durante esa franja del 29 de octubre. Cursor propone esta secuencia:

1. Busca en el archivo de claves SSH autorizadas de tu usuario una entrada con la etiqueta «svc-telemetry». Si no existe, Cursor considera que el equipo no está afectado. Los comandos exactos para macOS y Windows están en su aviso.
2. Si aparece, trata el equipo como comprometido: aíslalo de la red y valora reconstruirlo.
3. Ejecuta el script de limpieza de Cursor para tu sistema, que elimina la extensión, la persistencia, los túneles y la clave.
4. Cambia las contraseñas, claves y sesiones accesibles desde ese equipo, haciéndolo desde otro dispositivo de confianza. Si usas gestor de claves, revisa cómo funcionan las contraseñas y las passkeys.

Desinstalar la extensión no es suficiente, porque el código deja scripts propios que siguen funcionando. Heise recoge, además, que la versión corregida es la 2.1.314 o posterior.

Para empresas, Microsoft aconseja limitar las extensiones a autores aprobados, dejar un periodo de espera antes de instalar versiones recién publicadas y vigilar la aparición de claves SSH nuevas y tareas programadas.

Por qué importa

Este caso afecta a una de las piezas más delicadas del trabajo con agentes de IA para programar: las herramientas con acceso a código fuente, claves y servidores. Una extensión de confianza, con el nombre de un fabricante conocido, ejecuta código con los permisos del desarrollador, de modo que quien consigue alterarla obtiene un punto de entrada muy valioso.

También recuerda que el nombre de una extensión no garantiza su origen. Aquí el ataque no tocó los sistemas de Anthropic: aprovechó un canal de distribución de terceros. Quien use Claude o cualquier otro asistente dentro de un editor debería revisar qué extensiones tiene, de dónde las instala y si su editor permite aplazar las actualizaciones. Más noticias de este tipo están en nuestra sección de ciberseguridad. Ver también la brecha de Chainalysis y Claude Platform.

Qué falta por saber

• Cómo llegó la copia alterada a la tienda de Cursor. Ni Cursor ni Anthropic lo han explicado y Cursor no ha dicho si hubo una brecha en sus sistemas.
• Cuántas personas la descargaron de verdad: 5.000 es el máximo que da Cursor, no una cifra confirmada.
• Qué ocurrió en Linux. El código incluía rutinas para ese sistema, según Phorion, y Wired describe la extensión también para Linux, aunque Cursor solo habla de paquetes para Windows y macOS.
• Si alguien llegó a entrar en un equipo por el túnel. Cursor cree que no en circunstancias normales, pero recomienda limpiar igualmente.