Thông báo của Cursor: Từ 2:27 sáng đến 1:35 chiều giờ Thái Bình Dương ngày 29 tháng 10, các phiên bản Anthropic.claude-code 2.1.312 và 2.1.313 (dành cho macOS, Windows) trên thị trường mở rộng VS Code của họ là các phiên bản bị sửa đổi độc hại, không phải do Anthropic phát triển. Ngay khi plugin được tải, nó sẽ thu thập tên máy chủ, tên người dùng, hệ thống, thư mục home, tên biến môi trường, email Git và IP công cộng gửi cho kẻ tấn công, ghi khóa công khai SSH của kẻ tấn công (với ghi chú svc-telemetry) vào authorized_keys, đồng thời cố gắng bật SSH trên máy cục bộ, thiết lập đường hầm ngược và sử dụng LaunchAgent hoặc tác vụ theo lịch trình để tự động khởi động khi bật máy. Cursor đã gỡ bỏ phiên bản này, tạm dừng toàn bộ thị trường để xoay vòng khóa trước khi khôi phục, và phối hợp với các nhà cung cấp dịch vụ đám mây để tắt máy chủ của kẻ tấn công.
Độ tin cậy: Cao (100) · Thời gian sự kiện 2026-10-29
Lý do
- Đây là một cuộc tấn công chuỗi cung ứng vào kênh phân phối của công cụ lập trình AI: Theo Ars Technica dẫn nguồn từ Phorion và nhà nghiên cứu độc lập Kevin Beaumont, phiên bản độc hại được phát hành từ tài khoản chính thức đã được xác minh của Anthropic trên Cursor, ghi đè lên phiên bản bình thường; Cursor mặc định tự động cập nhật các tiện ích mở rộng, nên người dùng có thể bị ảnh hưởng mà không cần làm gì. Cách kẻ tấn công chiếm được tài khoản này vẫn chưa được Cursor và Anthropic giải thích.
- Plugin chạy với quyền hạn của IDE, có khả năng đọc các tệp cục bộ, mã nguồn và công cụ phát triển. Phân tích của Phorion: Chỉ thu thập "tên" của các biến môi trường (khớp với KEY, TOKEN, SECRET, AWS, v.v., tối đa 40 biến) mà không lấy giá trị, nhằm kiểm kê xem máy nào có thông tin đăng nhập đám mây và mã thông báo API, giúp chọn mục tiêu cho các cuộc tấn công tiếp theo.
- Mã có lỗi: Việc bật dịch vụ SSH yêu cầu quyền quản trị, bước này sẽ thất bại trên hầu hết các máy macOS và Windows, khiến kẻ tấn công không thể đăng nhập qua đường hầm; tuy nhiên, khóa công khai, tập lệnh tự khởi động và việc báo cáo thông tin máy chủ vẫn được thực hiện, vì vậy yêu cầu chính thức là phải dọn dẹp bất kể điều gì.
Cách sử dụng
- Nếu bạn đã cài đặt hoặc cập nhật plugin này từ thị trường mở rộng Cursor trong khoảng thời gian nêu trên vào ngày 29 tháng 10: Trên macOS / Linux, hãy chạy grep -qs svc-telemetry ~/.ssh/authorized_keys để kiểm tra (trên Windows, hãy dùng lệnh PowerShell trong thông báo), nếu tìm thấy thì máy đã bị ảnh hưởng.
- Các máy bị ảnh hưởng cần xử lý theo thông báo của Cursor: Tải xuống script chính thức remediate-macos.sh (chạy với tư cách người dùng thông thường, không dùng root) hoặc remediate-windows.ps1 (PowerShell với quyền quản trị) để xóa plugin, các mục tự khởi động, tiến trình đường hầm và khóa công khai; chỉ gỡ cài đặt plugin là không đủ. Sau đó, hãy xoay vòng các thông tin đăng nhập và phiên có thể truy cập từ máy này bằng một thiết bị đáng tin cậy, và cài đặt lại hệ thống nếu cần. Cả thông báo và phân tích của Phorion đều liệt kê các chỉ số xâm nhập như IP, đường dẫn tệp và hash, có thể dùng để rà soát toàn công ty.
Rủi ro
- Con số "tối đa 5000 người dùng bị ảnh hưởng" đến từ The Decoder và Ars Technica khi trích dẫn lại phát biểu của Cursor, con số này không có trên trang thông báo bảo mật của Cursor.
- Thông tin về phiên bản bị ảnh hưởng đã có sự thay đổi: Phorion ban đầu chỉ ghi 2.1.313, nhưng vào ngày 31 tháng 10, đã cập nhật thành 2.1.312 và 2.1.313 theo thông báo mới nhất của Cursor; Phorion cho biết mã độc cũng chứa logic cho Linux, trong khi thông báo của Cursor chỉ liệt kê macOS và Windows.
- Tính đến thời điểm Ars Technica đăng bài, Anthropic chưa đưa ra thông báo nào dành cho người dùng; nguyên nhân tài khoản bị xâm nhập và liệu có ảnh hưởng đến các kênh phân phối khác hay không vẫn chưa được tiết lộ (Cursor cho biết không có bằng chứng cho thấy các phiên bản khác hoặc kênh phân phối chính thức bị ảnh hưởng).
Mở · Thông báo bảo mật của Cursor · Phân tích bảo mật của Phorion · Ars Technica