Claude Code拡張機能のバックドア（2.1.313）とは？対象者・確認方法・対処を整理

Claude Code の VS Code 拡張機能（Anthropic.claude-code）のうち、バージョン 2.1.313 は改ざん版で、攻撃者の SSH 鍵を仕込むバックドアが入っていました。Cursor の告知によると、この版は Cursor の拡張機能マーケットプレイスで日本時間 2026年10月29日 18:27頃〜10月30日 05:35頃に配布されていました。この時間に 2.1.313 を入れた人は、拡張機能を消すだけでは足りず、確認と後始末が必要です。

Cursor で Claude Code 拡張機能を使っている開発者と、開発者の端末を管理する情報システム・セキュリティ担当者に向けた記事です。2026年10月31日時点で確認できた事実をもとに書いており、配布経路など一部はまだ報道が分かれています。

対象者・対象外・やることの早見

自分が対象かどうかは「2.1.313 を入れたか」でほぼ決まります。

1. 対象: Cursor（とその他の VS Code 派生エディタ）で、2026年10月29日 18:27頃〜10月30日 05:35頃（日本時間）に Claude Code 拡張機能が 2.1.313 になった人。Cursor によると、影響を受けたのは最大5,000ユーザーです
2. 対象外: Microsoft 公式の VS Code Marketplace から入れた人と、npm でターミナル版の Claude Code（CLI）だけを使っている人。どちらにも 2.1.313 は存在しません（10月31日時点で各配布元を確認）
3. 対処: 2.1.314 以降に上げたうえで、~/.ssh/authorized_keys に svc-telemetry という鍵がないか確かめる。見つかった端末は侵害されたものとして扱い、Cursor 配布の削除スクリプトで除去し、別の端末から認証情報を更新する

Claude Code そのものの仕組みを知りたい人は Claude Codeとは、日ごろの安全な使い方は Claude Codeのセキュリティガイド も参考にしてください。

何が起きたか：日本時間のタイムライン

今回の件は、Anthropic が作った拡張機能に脆弱性があったのではなく、第三者が改ざんした版が正規の拡張機能 ID で配布された事件です。Cursor の告知は「この悪意あるバージョンは Anthropic が開発したものではない」としています。

報道はどれも米国太平洋時間か UTC で時刻を書いているため、日本時間に直して並べます（10月29日の米国は夏時間 PDT=UTC-7 として換算）。

配布は約11時間続きました。日本では夕方から翌朝にかけての時間帯で、夜に Cursor を開いたまま席を離れた人や、翌朝起動した人の環境で自動更新が走った可能性があります（Cursor の告知に自動更新についての記載はなく、拡張機能の一般的な更新の仕組みから考えられることです）。

Cursor は該当版の削除に続いて、念のためマーケットプレイス全体を止め、アクセス記録の監査でほかの拡張機能の改ざんがないことを確かめたうえで、鍵を更新してマーケットプレイスを作り直し、再開したと説明しています。攻撃者のサーバーはホスティング事業者の協力で停止済みです。

一次情報は Cursor の告知「Security notice — malicious version of Anthropic.claude-code (2.1.313)」です。

出典: Cursor 公式ブログ

自分は対象か：配布元ごとの影響

影響の有無は、どこから拡張機能を入れたかで分かれます。2026年10月31日時点で各配布元を直接確かめた結果も表に入れました。

公式ドキュメントによると、拡張機能のバージョン番号は同梱される Claude Code（CLI）のバージョンと同じ番号です。そのため「2.1.313」という番号だけを見て、ターミナル版の Claude Code も危ないと考える人がいますが、npm 版には 2.1.313 がそもそも公開されていません。

出典: Claude Code 公式サイト

30秒でできる自己診断

1. Claude Code の拡張機能を使っているか → いいえ（ターミナルの claude だけ）なら対象外
2. 使っているエディタは何か → Microsoft の VS Code で、公式 Marketplace から入れたなら対象外。Cursor なら3へ。Windsurf・Kiro など Open VSX を使うエディタなら、念のため4のチェックだけ実行
3. 10月29日 18:27頃〜10月30日 05:35頃（日本時間）に Cursor を起動していたか、拡張機能が 2.1.313 になった記録があるか → 心当たりがない、または判断できない場合も4へ
4. OS 別の確認コマンドを実行する → svc-telemetry の鍵が見つかれば侵害ありとして対処。見つからなくても 2.1.313 を入れた記録があれば、常駐の痕跡まで確かめる

Cursor の拡張機能フォルダ（一般的には ~/.cursor/extensions）に anthropic.claude-code-2.1.313- で始まるフォルダが残っていれば、2.1.313 を入れたことの手がかりになります。Cursor 自体の特徴は Cursorとは で整理しています。

改ざん版 2.1.313 が端末で行うこと

出典: StepSecurity 公式ブログ

改ざん版は、拡張機能を読み込んだ時点で動き出し、端末の情報を送り、攻撃者が SSH で入れる裏口を作ろうとします。Claude と会話しなくても動きます。

セキュリティ企業 StepSecurity と OpenSourceMalware の解析では、extension.js の先頭に66行のコードが足されていました。このコードはエディタが拡張機能を読み込んだ時点で、通常の起動処理より先に実行されます。エラーをほぼすべて握りつぶし、本来の拡張機能はそのまま動くため、使っている側は異変に気づきにくい作りです。同梱された CLI 本体は正規のものでした。

Cursor の告知が挙げている動作は次の4つです。

1. 端末情報の収集: ホスト名、ユーザー名、OS、CPU の種類、ホームディレクトリ、作業中のディレクトリ、Git のメールアドレス、公開 IP アドレス、環境変数の名前
2. SSH の裏口づくり: 攻撃者の SSH 公開鍵（コメントは svc-telemetry）を authorized_keys に追加し、SSH サービスを有効にして、攻撃者のサーバーへ逆向きの SSH トンネルを張ろうとする
3. 常駐化: macOS は LaunchAgent、Windows は SYSTEM 権限のスケジュールタスク（失敗したらスタートアップフォルダ）に登録し、約60秒ごとにトンネルを張り直す。第三者の解析では Linux は cron の @reboot を使う
4. 送信: 端末情報と裏口の状態を、攻撃者のサーバーのポート8099へ送る

環境変数は名前だけが送られ、値は最初の送信には入っていません。ただし OpenSourceMalware の解析では、KEY・TOKEN・SECRET・PASS・AWS・GCP を含む名前を最大40個選んで送っており、どの認証情報を持つ端末かを攻撃者が把握できる内容です。

どこまで成功しうるか

コードの不具合のため、多くの環境では攻撃者のログインまでは成立しませんでした。ただし、それで安全とは言えません。

Cursor は「管理者権限なしでは攻撃者はトンネル経由でログインできなかった」としつつ、鍵の追加・常駐化・情報送信はその環境でも起こりうるため対処は必要だとしています。発見に関わったセキュリティ企業 Phorion は、SSH がもともと有効な端末や、あとから SSH を有効にした端末では、残った鍵が使われうると指摘しています。開発用に「リモートログイン」を有効にしている Mac は特に注意が必要です。

OS 別の確認方法

まず authorized_keys に svc-telemetry の鍵がないかを調べます。macOS と Windows のコマンドは Cursor の告知の原文です。

macOS

ターミナルで次の1行を実行します。

grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted"

svc-telemetry key found と出たら侵害ありとして扱います。あわせて、Apple 純正を装った名前の常駐ファイル ~/Library/LaunchAgents/com.apple.sysmond.plist と、~/.config/.smt・~/.config/.smtk がないかも見ておくと確実です。com.apple.sysmond は Apple の部品ではありません。

Windows

PowerShell で次の2行を実行します。

$files = "$HOME\.ssh\authorized_keys", "C:\ProgramData\ssh\administrators_authorized_keys" | Where-Object { Test-Path $_ }
if ($files -and (Select-String svc-telemetry $files)) { "svc-telemetry key found" } else { "No key found; machine not impacted" }

補助として、スケジュールタスク SysMon（schtasks /query /tn SysMon で確認できます）と、スタートアップフォルダの sysmon.cmd、%USERPROFILE%\.config\smt.cmd の有無も確かめてください。

Linux

Cursor の告知には Linux 向けのコマンドがありません。第三者の解析をもとに、次の2点を確かめます。

grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found"
crontab -l 2>/dev/null | grep '@reboot'

@reboot の行に覚えのないスクリプト（~/.config/.smt など）が登録されていたら、侵害を疑ってください。

見つかった場合・見つからなかった場合の対処

鍵や常駐の痕跡が見つかった端末は、侵害されたものとして扱います。常駐の仕組みは拡張機能フォルダの外にあるため、拡張機能をアンインストールしただけでは消えません。

見つかった場合の手順

Cursor の告知とセキュリティ企業の推奨をまとめると、次の順番になります。

1. 端末を隔離する: ネットワークから切り離し、ほかの端末や社内システムへの接続を止める
2. 証拠を残す: 企業の端末なら、消す前に該当ファイルや記録を保全する（OpenSourceMalware が推奨）
3. 削除スクリプトで除去する: Cursor の告知ページから配布スクリプトを入手して実行する
   • macOS: root ではなく、影響を受けたユーザーで bash remediate-macos.sh
   • Windows: 「管理者として実行」で開いた PowerShell で powershell -ExecutionPolicy Bypass -File .\remediate-windows.ps1
   • 何か残っていると 0 以外の終了コードで終わる
4. 別の端末から認証情報を更新する: 影響した端末で使えた API キー・トークン・パスワード・セッションを、信頼できる別の端末から作り直す
5. 作り直すか判断する: トンネルが実際につながった可能性がある場合、StepSecurity と OpenSourceMalware は掃除ではなく OS の再インストールを勧めている
6. 拡張機能を 2.1.314 以降に更新する

削除スクリプトは、Cursor の告知ページのリンク（cursor.com/static/security/claude-code-extension/ 配下）から取得してください。同じ名前のファイルをほかのサイトからダウンロードするのは避けたほうが安全です。問い合わせ先は security@cursor.com です。

見つからなかった場合

鍵が見つからなければ、Cursor の判定では「影響なし」です。拡張機能を 2.1.314 以降に上げておけば十分です。ただし 2.1.313 を入れた記録があるのに鍵だけ見つからない場合は、常駐ファイル（macOS の LaunchAgent、Windows の SysMon タスク、Linux の @reboot）も確かめ、どれかが見つかれば対処に進んでください。

認証情報は何から更新するか

改ざん版は認証情報らしい環境変数の名前を送っていたため、その名前に当たるものから優先して作り直すのが一般的な考え方です。

企業の端末を一斉に調べるための侵害指標

開発者が多い会社では、端末管理ツールや EDR で次の値を一斉に検索すると、確認漏れを減らせます。値は Cursor の告知と、StepSecurity・OpenSourceMalware の解析によるものです。

ifconfig.me や api.ipify.org への通信は正規の IP 確認サービスで、それだけでは侵害の証拠になりません。ネットワーク側では 134.209.82.225 のポート22と8099への通信を遮断し、過去の通信記録も検索しておくと安心です。SSH のログに svc-telemetry の鍵を使ったログインが残っていないかも確認してください。

出典: Cursor 公式 Enterprise ページ

会社で Claude Code を配っている場合の権限や管理者設定は Claude Codeのチーム導入ガイド、会社が把握していない AI ツールの使用が広がる問題は シャドーAIのリスク で扱っています。AI で作った試作や社内ツールを、実データや既存システムにつないで業務で使う段階では、こうした開発端末と依存部品の管理まで運用ルールに含める必要があります。手順は バイブコーディング・Lovableで作ったアプリを本番運用するには で整理しています。

まだはっきりしていない点

発生から2日しか経っておらず、10月31日時点で報道が分かれている点が3つあります。断定せず、わかっている範囲を並べます。

Open VSX では現在 2.1.313 が見つからず、「最初からなかった」のか「削除された」のかは外からは区別できません。一次情報の Cursor は自社のマーケットプレイスの問題として説明しているため、本記事もその説明に沿って書いています。Windsurf や Kiro など Open VSX を使うエディタの利用者は、念のため確認コマンドだけ実行しておくのが無難です。

背景として、Microsoft の VS Code Marketplace は利用規約で Microsoft 製品以外からの利用を制限しています。そのため Cursor などの派生エディタは、Open VSX や独自のマーケットプレイスから拡張機能を配っています。配布元が複数あることが、今回のように「どこから入れたか」で影響が変わる理由です。派生エディタの違いは Windsurf と Cursor の比較 や Kiro と Cursor の比較 も参考になります。

過去の Claude Code の脆弱性との違い

今回の件は、過去に報じられた Claude Code の脆弱性とは別の件です。検索すると古い記事が混ざって出てくるため、切り分けておきます。

Claude Code に関係するほかの事案は Claude Codeのソースコード流出、Claude Codeを悪用した恐喝キャンペーン、オートモードのプロンプトインジェクション で個別に解説しています。

再発を防ぐ拡張機能の管理

正規の拡張機能 ID で改ざん版が配られると、利用者側で見抜くのはほぼ不可能です。そのため、改ざん版が入った場合の被害を小さくする設定と運用が中心になります。

• 自動更新の扱いを決める: VS Code 系エディタには拡張機能の自動更新を切り替える設定（extensions.autoUpdate）があります。業務端末では、自動更新を止めて数日遅れで更新する運用も選択肢です。ただし更新を遅らせると、脆弱性の修正も遅れる点とのバランスが必要です
• 許可する拡張機能を絞る: VS Code には組織で使ってよい拡張機能を指定する設定（extensions.allowed）があります。Cursor など派生エディタで同じ設定が効くかは、各製品のドキュメントで確認してください
• エディタを管理者権限で起動しない: 今回の件でも、管理者権限がないことで SSH の有効化が失敗しました。普段使いのアカウントは一般ユーザーにしておくのが基本です
• SSH を使わない端末ではリモートログインを切る: 鍵を足されても、SSH が動いていなければ入れません
• 認証情報を環境変数に置きっぱなしにしない: シークレット管理ツールや、必要なときだけ読み込む方法に切り替えると、漏れたときの範囲を絞れます

出典: Claude Code ドキュメント（セキュリティ）

AI コーディングツール全般のリスクは AIコーディングのセキュリティリスク、エージェント型ツールの対策は AIエージェントのセキュリティ対策、生成AI全体の守り方は 生成AIのセキュリティ にまとめています。

今すぐ確認すべき人・急がなくてよい人

今すぐ確認すべき人

• Cursor で Claude Code 拡張機能を使っていて、10月29日夜〜10月30日早朝（日本時間）に Cursor を起動していた人
• Cursor を管理者権限で起動している人、Mac でリモートログインを有効にしている人
• クラウドや本番環境の認証情報を環境変数に置いている開発者
• 開発者の端末を管理している情報システム・セキュリティ担当者
• Windsurf・Kiro など Open VSX を使うエディタで Claude Code 拡張機能を入れている人（念のため）

急がなくてよい人

• ターミナル版の Claude Code（npm の CLI）だけを使っている人
• Microsoft の VS Code で、公式 Marketplace から拡張機能を入れている人
• 拡張機能がすでに 2.1.314 以降で、2.1.313 を経ていないと確認できた人

よくある質問

Claude Code を使い続けても大丈夫ですか？

2.1.314 以降の拡張機能と npm の CLI は、現時点で問題は報告されていません。Anthropic の正規の配布が侵害された証拠は示されていないため、使用をやめる必要まではありません。今回の件をきっかけに、自動更新や管理者権限での起動を見直すのが現実的です。

拡張機能をアンインストールすれば安全ですか？

安全とは言えません。追加された SSH 鍵と常駐の仕組みは拡張機能フォルダの外に作られるため、アンインストールしても残ります。確認コマンドで痕跡を調べ、見つかったら削除スクリプトで除去してください。

2.1.313 を入れたかどうかがわかりません。どうすればいいですか？

Cursor の拡張機能フォルダ（一般的には ~/.cursor/extensions）に 2.1.313 のフォルダが残っていないかを見たうえで、OS 別の確認コマンドを実行してください。鍵が見つからなければ、Cursor の判定では影響なしです。Cursor は影響を受けた利用者に個別に連絡するとしているので、メールも確認しておきましょう。

環境変数の値も盗まれましたか？

解析によると、最初の送信に含まれるのは環境変数の名前だけで、値は含まれていません。ただし SSH で端末に入られていた場合は、値を読まれた可能性を否定できません。SSH が有効だった端末では、該当する認証情報を作り直してください。

Anthropic は何と言っていますか？

10月31日時点で、確認できた範囲では Anthropic の公式な説明は出ていません。「Anthropic が開発したものではない」というのは Cursor の告知の説明です。新しい発表があれば、Anthropic のニュースや Claude Code のドキュメントで確認してください。

まとめ

Claude Code 拡張機能 2.1.313 は第三者による改ざん版で、Cursor のマーケットプレイスで日本時間 10月29日 18:27頃〜10月30日 05:35頃に配布されました。端末情報を送り、攻撃者の SSH 鍵と常駐の仕組みを残します。管理者権限のない多くの環境ではログインまでは成立しませんでしたが、鍵と常駐は残りうるため確認が必要です。

やることは、2.1.314 以降への更新と、svc-telemetry の鍵の確認の2つです。見つかった場合は、隔離、証拠の保全、削除スクリプトでの除去、別端末からの認証情報の更新の順で進め、トンネルがつながった可能性があれば端末の作り直しも検討してください。npm の CLI と Microsoft の VS Code Marketplace 版は対象外です。配布経路と侵入の原因はまだ確定していないため、Cursor の告知の更新を追ってください。