Två versioner av Claude Code-tillägget i utvecklingsverktyget Cursor spred skadlig kod som försökte ge angripare fjärråtkomst till användarnas datorer. Microsoft varnar för att bakdörren kan finnas kvar även efter att tillägget avinstallerats. Här går vi igenom vilka som berörs och hur du kontrollerar din dator.

Den 29 oktober 2026 distribuerades manipulerade versioner av Claude Code via Cursors tilläggsmarknadsplats. De drabbade versionerna var 2.1.312 och 2.1.313.

Microsoft publicerade den 30 oktober en teknisk analys som visar hur angriparna försökte installera en SSH-bakdörr. Cursor har stoppat distributionen och publicerat instruktioner för att upptäcka och ta bort skadliga komponenter.

Det finns däremot inga belägg för att Anthropic, företaget bakom Claude Code, har utsatts för något intrång. Incidenten gäller distributionen av tillägget genom Cursors marknadsplats.

Vilka användare behöver kontrollera datorn?

Risken gäller framför allt användare som installerade eller automatiskt fick någon av de berörda versionerna från Cursors marknadsplats den 29 oktober.

Det aktuella tidsfönstret var ungefär klockan 10.27–21.35 svensk tid.

Användarsituation	Behöver du agera?
Installerade version 2.1.312 eller 2.1.313 via Cursor under riskperioden	Ja, kontrollera datorn.
Hade automatiska tilläggsuppdateringar aktiverade	Kontrollera om någon av versionerna installerades.
Har redan avinstallerat eller uppdaterat det berörda tillägget	Ja, om den skadliga versionen tidigare kördes.
Installerade endast från Microsofts Visual Studio Marketplace	Omfattas inte av den kända incidenten.
Använder officiella Claude Code via npm	Omfattas inte av den kända incidenten.
Använder Cursor utan Claude Code-tillägget	Ingen särskild åtgärd krävs för denna incident.

De manipulerade paketen som Cursor identifierade distribuerades till Windows- och macOS-användare.

Det avgörande är inte bara vilken version som finns installerad nu, utan om datorn tidigare har kört något av de skadliga paketen.

Så kontrollerar du om datorn är drabbad

En av de tydligaste indikatorerna är en obehörig SSH-nyckel med kommentaren svc-telemetry.

SSH används normalt för säker fjärråtkomst. I det här fallet försökte angriparna lägga till en egen nyckel som kunde användas för att komma åt datorn utan användarens tillstånd.

Kontrollera på Mac

Öppna Terminal och kör:

grep -n "svc-telemetry" ~/.ssh/authorized_keys

Om kommandot hittar en rad med den misstänkta nyckeln kan datorn ha påverkats av angreppet.

Kontrollera på Windows

Öppna PowerShell och sök efter samma markör i datorns SSH-filer:

Select-String -Path "$HOME\.ssh\authorized_keys","C:\ProgramData\ssh\administrators_authorized_keys" -Pattern "svc-telemetry" -ErrorAction SilentlyContinue

Kommandot söker efter den aktuella markören i både användarens SSH-konfiguration och den särskilda fil som kan användas för administratörsåtkomst.

Viktigt: Att kommandot inte hittar något betyder inte säkert att datorn är opåverkad.

Den skadliga koden kunde försöka skapa flera olika komponenter. En fullständig kontroll behöver därför även ta hänsyn till installationshistorik, startskript, processer och misstänkt nätverkstrafik.

Microsoft har bland annat identifierat serveradressen 134.209.82.225 som en del av angreppet. Adressen kan användas som en indikator vid säkerhetsundersökningar.

Vad ska du göra om datorn är drabbad?

Om du hittar den misstänkta SSH-nyckeln eller kan bekräfta att en skadlig version körts bör du behandla datorn som potentiellt komprometterad.

Börja med följande åtgärder:

1. Kontakta IT-ansvarig om det är en arbetsdator. Ändra inte eller radera inte misstänkta filer innan säkerhetsansvariga bedömt om information behöver sparas för undersökning.
2. Isolera datorn vid tydliga tecken på intrång. Koppla bort nätverksanslutningen för att begränsa eventuell fortsatt fjärråtkomst.
3. Ta bort det manipulerade tillägget. Kontrollera samtidigt att inga kvarvarande skadliga komponenter finns på datorn.
4. Använd Cursors officiella saneringsanvisningar. Företaget har publicerat särskilda skript för Windows och macOS.
5. Kontrollera datorn på nytt. Undersök om obehöriga SSH-nycklar, startmekanismer eller misstänkta processer finns kvar.

Cursors officiella instruktioner och länkar till saneringsskripten finns i företagets säkerhetsmeddelande om Claude Code-tillägget.

Saneringsskripten heter remediate-macos.sh och remediate-windows.ps1. Mac-versionen ska köras som den berörda användaren, medan Windows-versionen kräver administratörsrättigheter.

Skripten bör granskas innan de körs, särskilt i företagsmiljöer.

Om undersökningen visar att angriparen kan ha fått åtkomst till känsliga uppgifter kan det också bli nödvändigt att återkalla inloggningssessioner och byta lösenord, SSH-nycklar och andra åtkomstuppgifter från en betrodd dator.

Vid ett konstaterat eller svåravgränsat intrång kan en ominstallation av operativsystemet vara det säkraste alternativet.

Därför räcker det inte att avinstallera tillägget

Det som gör incidenten särskilt allvarlig är att den skadliga koden försökte etablera åtkomst utanför tilläggets egen installationsmapp.

Microsofts analys visar att angriparna försökte skapa flera mekanismer för att behålla kontrollen över en dator.

På macOS kunde ett så kallat LaunchAgent-skript användas för att starta den skadliga koden igen. På Windows försökte programmet skapa schemalagda aktiviteter och startfiler med liknande funktion.

Sådana komponenter kan överleva både en uppdatering och en vanlig avinstallation.

Det innebär att en dator som tidigare körde en skadlig version fortfarande kan behöva saneras, även om Cursor nu visar en annan version av Claude Code-tillägget.

Cursor uppger att angriparens identifierade server har stängts ned. Men det tar inte automatiskt bort filer eller obehöriga SSH-nycklar som redan lagts till på användarnas datorer.

Vad kunde angriparna komma åt?

Den manipulerade programkoden försökte samla in uppgifter om datorn och dess utvecklingsmiljö.

Bland informationen fanns användarnamn, datornamn, operativsystem, IP-adress och Git-relaterade uppgifter.

Därefter försökte programmet aktivera SSH och skapa en anslutning till angriparens server.

En lyckad bakdörr hade kunnat ge angriparen omfattande tillgång till användarens filer och utvecklingsmiljö. Det är särskilt känsligt för utvecklare som arbetar med källkod, interna system eller tjänster med produktionsåtkomst.

Men Microsofts analys innehåller också en viktig begränsning.

På många Windows- och Macdatorer fungerade inte hela angreppskedjan som avsett. Tekniska problem och avsaknad av tillräckliga rättigheter kunde hindra fjärråtkomsten.

Microsoft konstaterar också att en del av den ursprungliga informationsinsamlingen omfattade namn på miljövariabler, inte de hemliga värden som variablerna innehöll.

Det finns därför inte stöd för att påstå att alla drabbade automatiskt fått sina lösenord eller API-nycklar stulna.

Risken måste bedömas utifrån vad den skadliga koden faktiskt lyckades genomföra på den enskilda datorn.

Cursor har stoppat distributionen

Cursor uppger att de manipulerade tilläggen har tagits bort och att marknadsplatsen tillfälligt stängdes medan händelsen undersöktes.

Företaget har även granskat andra tillägg, bytt relevanta nycklar och återöppnat marknadsplatsen efter säkerhetsåtgärder. Enligt Cursor hittade granskningen inga andra manipulerade tillägg.

För företag som använder Cursor kan incidenten vara ett skäl att se över hur tillägg installeras och uppdateras.

Bland skyddsåtgärderna finns begränsningar till godkända tilläggsutgivare och möjligheten att fördröja installation av nya tilläggsversioner.

Det kan minska risken att en manipulerad uppdatering sprids automatiskt till många datorer innan den hinner upptäckas.

För den som redan har installerat någon av de berörda versionerna är dock den viktigaste åtgärden fortfarande att kontrollera den egna datorn.

Den fullständiga tekniska genomgången finns i Microsofts säkerhetsanalys, medan Cursors eget säkerhetsmeddelande innehåller instruktionerna för kontroll och sanering.