---
title: Une extension malveillante de Claude Code sur Cursor a implanté des portes dérobées SSH
url: https://www.elseif.net/fr/une-extension-malveillante-de-claude-code-sur-cursor-a-implante-des-portes-derobees-ssh
published: 2026-11-02T15:07:05+00:00
language: fr
section: Harnais
source: https://www.bleepingcomputer.com/news/security/malicious-claude-code-extension-on-cursor-planted-ssh-backdoors/
organizations: Cursor, Anthropic, Phorion, OpenSourceMalware
publisher: elseif
---

# Une extension malveillante de Claude Code sur Cursor a implanté des portes dérobées SSH

Une version malveillante de l'extension Claude Code d'Anthropic a été distribuée via la place de marché d'extensions de Cursor, exposant jusqu'à 5 000 développeurs à un logiciel malveillant conçu pour installer des portes dérobées SSH persistantes.

L'extension, portant le numéro de version 2.1.313, a été disponible le 29 octobre entre 2h27 et 13h35, heure du Pacifique, soit pendant environ 11 heures. Cursor a précisé qu'Anthropic n'a pas développé cette extension malveillante, bien que les modalités de distribution du paquet compromis sous le nom d'Anthropic ne soient pas expliquées.

Des chercheurs de Phorion et OpenSourceMalware ont découvert que des attaquants ont inséré un chargeur JavaScript malveillant au début du fichier extension.js, tandis que le reste du code légitime demeurait inchangé. Le code malveillant s'exécute lors du chargement de l'extension, sans nécessiter d'interaction de l'utilisateur avec Claude Code.

Selon Phorion, des erreurs de codage dans les routines de configuration SSH du logiciel malveillant ont probablement empêché les attaquants d'obtenir un accès à distance sur de nombreux systèmes macOS et Windows. Sur macOS, le logiciel tente de vérifier si la connexion à distance est activée sans privilèges élevés, ce qui produit une erreur d'accès administrateur. Sur Windows, le logiciel tente d'installer le serveur OpenSSH via PowerShell en utilisant /bin/sh, un shell Unix absent des installations Windows standard.

Malgré ces échecs de connexion, le logiciel malveillant peut installer des clés SSH, établir une persistance et envoyer des données de reconnaissance vers le serveur de l'attaquant. Ces données incluent le nom d'utilisateur, le nom d'hôte, l'adresse IP publique, l'adresse électronique Git et les noms de variables d'environnement liées à des identifiants sensibles. Le script ne vole pas directement les identifiants, ce qui suggère que les attaquants prévoyaient de récupérer les données manuellement après l'accès SSH.

Cursor a supprimé l'extension et a temporairement fermé sa place de marché pour auditer les autres extensions et renouveler toutes les clés d'accès. L'entreprise a également collaboré avec le fournisseur d'hébergement pour mettre hors ligne le serveur de l'attaquant. Une enquête interne a conclu qu'aucune autre version d'extension ou distribution officielle n'a été affectée. Cursor était la seule source distribuant l'extension malveillante, contrairement aux rapports initiaux mentionnant npm, Open VSX et la place de marché de Visual Studio Code.