Anysphere: Sicherheitsvorfall
Infrastruktur von Code-Editor Cursor wird zum Tor für Supply-Chain-Angriff.

Am 29. Oktober 2026 wurde die Infrastruktur des Codeeditor-Anbieters Cursor zum Einfallstor für einen weitreichenden Supply-Chain-Angriff. Das Unternehmen verbreitete über seinen hauseigenen Marktplatz rund elf Stunden lang eine kompromittierte „Claude-Code“-Erweiterung (Version 2.1.313), die nicht vom eigentlichen Entwickler Anthropic stammte. Nach offiziellen Angaben von Cursor wurden maximal 5.000 Nutzer in Mitleidenschaft gezogen.

Die technische Umsetzung der Attacke zielte auf tiefe Systempersistenz: Beim Laden der Erweiterung wurde ein fremder SSH-Schlüssel hinterlegt und ein dauerhafter, durch Autostart-Einträge abgesicherter Rückkanal etabliert. Der Schadcode übermittelte Systemdaten, Git-E-Mail-Adressen sowie die Bezeichnungen potenziell kritischer Umgebungsvariablen an die Angreifer – die eigentlichen Werte der Variablen blieben jedoch unangetastet. Ein direkter Fernzugriff durch die Täter setzte zudem einen lokal laufenden SSH-Dienst auf den Zielrechnern voraus.

Cursor reagierte mit drastischen Einschnitten auf den Kontrollverlust. Das Unternehmen veranlasste die Abschaltung des Angreiferservers, entfernte das Schad-Plugin und nahm den Marktplatz erst nach einer vollständigen Sicherheitsprüfung und der Erneuerung aller kryptografischen Schlüssel wieder in Betrieb. Da eine reguläre Deinstallation der Erweiterung die etablierte Hintertür nicht beseitigt, hat Cursor eigens Bereinigungsskripte veröffentlicht und rät betroffenen Entwicklern dringend, ihre Rechner umgehend zu isolieren und sämtliche Zugangsdaten auszutauschen.