Extension Claude Code độc hại: kiểm tra máy bạn ngay

Một bản extension Claude Code bị chỉnh sửa độc hại đã nằm trên marketplace của Cursor khoảng 11 tiếng ngày 29/10, chạm tới tối đa 5.000 developer.

Package bị ảnh hưởng là Anthropic.claude-code version 2.1.313. Cửa sổ phơi nhiễm nằm trong khoảng 2:27 sáng đến 1:35 chiều giờ Pacific ngày 29/10/2026, theo security notice của Cursor.

Bạn có nằm trong diện ảnh hưởng không

Chỉ khi bạn cài hoặc cập nhật lên đúng version đó, từ marketplace của Cursor, trong đúng cửa sổ trên. Lưu ý: auto-update cũng tính, nên bạn có thể nằm trong diện ảnh hưởng mà chưa từng chủ động bấm cài.

Đây là sự cố của một kênh phân phối, không phải của Anthropic. Felix Rieseberg, thành viên technical staff của Anthropic, viết trên X: "chuyện này không phải là compromise hệ thống của Anthropic hay laptop nhân viên. Một actor độc hại đã dùng quyền truy cập marketplace của Cursor để publish một bản sao bị chỉnh sửa của extension Claude Code, bản mà chúng tôi không build và không publish." Các version trên kênh chính thức không bị ảnh hưởng.

Payload làm gì

Bản độc hại tìm cách thêm một SSH key do kẻ tấn công kiểm soát vào file authorized_keys, bật SSH service cục bộ, rồi mở một reverse SSH tunnel. Key được gắn nhãn svc-telemetry. Nó duy trì tunnel qua LaunchAgent trên macOS, scheduled task hoặc Startup script trên Windows; StepSecurity và The Hacker News cũng ghi nhận một cron entry trên Linux.

Bước cuối hỏng trên phần lớn máy — và không phải nhờ phòng thủ của ai. Bật SSH cần quyền administrator mà extension không có trên đa số máy macOS và Windows, nên kẻ tấn công không đăng nhập được qua tunnel. Calum Hall, đồng sáng lập kiêm CEO hãng phát hiện Phorion, nhóm đầu tiên phát hiện extension này trên máy Mac của một khách hàng, nói thẳng: "Everyone was so lucky here, this was potentially a really dangerous foothold for an attacker."

May mắn không phải là biện pháp ngăn chặn. Ngay cả khi tunnel không mở, extension vẫn đã thêm key của kẻ tấn công, cài persistence, và gửi về thông tin máy: hostname, username, tên các biến môi trường, Git email đã cấu hình, và public IP.

Checklist dọn máy

Gỡ extension là không đủ, vì payload để lại các script persistence độc lập. Làm theo thứ tự:

1. Tìm entry gắn nhãn svc-telemetry trong ~/.ssh/authorized_keys; trên tài khoản administrator của Windows kiểm tra thêm C:\ProgramData\ssh\administrators_authorized_keys. Xoá mọi key bạn không tự thêm.
2. Dọn persistence tương ứng nền tảng: LaunchAgent trên macOS, scheduled task hoặc Startup script trên Windows, cron entry trên Linux.
3. Nếu bạn không tự bật SSH server thì tắt nó đi: Remote Login trên macOS, service sshd trên Windows hoặc Linux.
4. Từ một máy sạch khác, xoay mọi secret mà máy này với tới được: cloud credentials, SSH keys, API tokens, repository tokens, và publish token của package registry. Vô hiệu hoá các session đang hoạt động, rồi kiểm tra Git host xem có SSH key hay deploy key nào bạn không thêm.
5. Cài lại extension ở version sạch — The Hacker News đưa tin Anthropic đã phát hành bản 2.1.314.

Câu hỏi còn bỏ ngỏ

Việc bản build này được publish dưới tên extension bằng cách nào thì vẫn chưa được giải thích công khai, như BleepingComputer ghi nhận, và chưa có xác nhận nào về việc hệ thống của Anthropic bị compromise.

Chừng nào chưa có câu trả lời, không ai ngoài Cursor nói được rằng lỗ hổng quy trình đã đóng hay chưa. Nếu team bạn cài extension qua marketplace, đây là lúc ghi lại version đang dùng và bật thông báo cho các bản cập nhật tự động.