الإجاباتمنشور24 المصادر
إضافة Claude Code خبيثة في سوق Cursor: ما الذي حدث؟
في 29 أكتوبر 2026، أتاح سوق إضافات Cursor نسخة معدّلة من Claude Code، رقمها 2.1.313، لنحو 11 ساعة. تشير الأدلة اللاحقة إلى أن التوزيع تم عبر سوق Cursor، لا Open VSX أو سوق Microsoft أو حزمة npm؛ والنسخة النظيفة البديلة هي 2.1.314.
نشر بواسطةتم التحرير باستخدام GPT-6 Lunaتم إنشاء الصور باستخدام GPT Image 2
إجابة البحث
الوجبات السريعة الرئيسية
- في 29 أكتوبر 2026، أتاح سوق إضافات Cursor نسخة معدّلة من Claude Code، رقمها 2.1.313، لنحو 11 ساعة.
- تشير الأدلة اللاحقة إلى أن التوزيع تم عبر سوق Cursor، لا Open VSX أو سوق Microsoft أو حزمة npm؛ والنسخة النظيفة البديلة هي 2.1.314.
موجّه الذكاء الاصطناعي
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened in the October 29, 2026 compromise of Claude Code extension version 2.1.313 in Cursor’s marketplace, including its roughly 11-. Article summary: On October 29, 2026, a trojanized Claude Code extension, `anthropic.claude-code` version `2.1.313`, was served through Cursor’s extension marketplace from approximately 2:27 a.m. to 1:35 p.m. Pacific—about 11 hours—and r. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
في 29 أكتوبر 2026، توفرت نسخة معدّلة من إضافة Claude Code، بالمعرّف anthropic.claude-code ورقم الإصدار 2.1.313، عبر سوق إضافات Cursor بين نحو 2:27 صباحًا و1:35 ظهرًا بتوقيت المحيط الهادئ، أي قرابة 11 ساعة. وقال Cursor إن عدد من تلقّوا النسخة قد يصل إلى 5,000 مستخدم. هذا تقدير لمدى وصول الإضافة، وليس عدد الأجهزة التي ثبت نجاح اختراقها. 2
4
تكمن خطورة الحادثة في أن الشيفرة حاولت إضافة مفتاح SSH يتحكم به المهاجم، وإنشاء وسيلة دائمة للاتصال بالأجهزة المتأثرة. إليك ما تثبته المعلومات المتاحة وما ينبغي للمستخدمين التحقق منه.
أين وُزّعت الإضافة؟
نسبت تقارير أولية النسخة المخترقة إلى Open VSX، لكن التحليلات اللاحقة أشارت إلى أن مصدر التوزيع كان سوق Cursor نفسه. وذكرت التقارير أن الإضافة على Open VSX وسوق Microsoft، إلى جانب حزمة npm المسماة @anthropic-ai/claude-code، لم تتأثر؛ إذ انتقلت قوائم الإصدارات فيها من 2.1.312 إلى 2.1.314 من دون ظهور 2.1.313. 10
13
19
22
استخدمت الحزمة هوية الإضافة الأصلية، فلم تكن مجرد نسخة مقلّدة يسهل تمييزها. كما أشار إشعار Cursor إلى إصداري 2.1.312 و2.1.313 لأنظمة Windows وmacOS. لذلك، من الأفضل للمستخدمين اتباع إرشادات Cursor وعدم حصر الفحص في رقم 2.1.313 وحده. 4
19
لم تطوّر Anthropic النسخة المعدّلة. وتحدد التقارير المتاحة سوق Cursor بوصفه مصدر التوزيع، لكنها لا توضّح كيف حصل المهاجم على صلاحية النشر فيه. 4
16
ما الذي حاولت الشيفرة فعله؟
رصد الباحثون مُحمّلًا خبيثًا من 66 سطرًا أُدرج قبل الشيفرة الأصلية للإضافة. وجمع المُحمّل معلومات عن الجهاز والمستخدم، منها اسم الجهاز واسم المستخدم ونظام التشغيل وأسماء متغيرات البيئة وبريد Git الإلكتروني وعنوان IP العام. 1
8
كما حاول إضافة مفتاح SSH يتحكم به المهاجم، ويحمل الاسم svc-telemetry، إلى ملف authorized_keys الخاص بالمستخدم، وإنشاء آليات للبقاء بعد إعادة التشغيل وفتح نفق SSH عكسي. وشملت آليات الاستمرارية المذكورة وكيل تشغيل في macOS ومهمة مجدولة في Windows؛ وكانت البرامج النصية تحاول إعادة الاتصال كل 60 ثانية تقريبًا. 1
8
41
بحسب Cursor، كان تفعيل خدمة SSH المحلية يفشل عادةً بسبب أخطاء في الشيفرة الخبيثة، باستثناء ظروف غير معتادة، مثل تشغيل Cursor بصلاحيات المسؤول. وهذا يقلل احتمال نجاح مسار الوصول البعيد المقصود على الأجهزة المعتادة، لكنه لا يثبت وحده ما إذا كان جهاز بعينه قد تأثر. 41
احتواء الحادثة والإصدار النظيف
أزال Cursor الحزمة الخبيثة وأوقف سوق الإضافات مؤقتًا. وأفادت تقارير أيضًا بأن الشركة أعادت بناء السوق وغيّرت مفاتيح النشر أو التوقيع، وعملت على تعطيل خادم المهاجم. 18
23
ظهر الإصدار 2.1.314 بوصفه البديل النظيف على Open VSX وسوق Microsoft Visual Studio. 4
10 لكن تحديث الإضافة أو حذفها يعالج الحزمة نفسها، ولا يعني بالضرورة إزالة أي ملفات أو إعدادات ربما كتبتها الشيفرة الخبيثة على الجهاز.
4
8
ما الذي ينبغي للمستخدمين فحصه؟
إذا ثبّت الإضافة أو حدّثها عبر Cursor خلال فترة إتاحتها، فارجع إلى إشعار الأمان وإرشادات المعالجة التي نشرتها الشركة، وافحص الجهاز بحثًا عن الآثار المحتملة، ومنها:
- مفتاح
svc-telemetryفي ملفات تفويض SSH، وأي آليات استمرارية مرتبطة به، مثل وكيل التشغيل المذكور في macOS أو المهمة المجدولة في Windows.1
4
- تثبيت الإصدار النظيف
2.1.314واتباع خطوات المعالجة التي يوصي بها Cursor؛ لا تفترض أن التحديث أو إزالة الإضافة وحدهما يمحوان آثارًا ربما ثُبّتت مسبقًا.40
- تدوير بيانات الاعتماد التي كان يمكن الوصول إليها من جهاز يحتمل تأثره. وإذا عثرت على آثار مريبة، فإن عزل الجهاز أثناء التحقيق إجراء احترازي، وليس دليلًا على نجاح اتصال المهاجم به.
6
الأهم هو التمييز بين وصول الإضافة الخبيثة إلى المستخدم وبين نجاح تفعيل الباب الخلفي. تثبت التقارير محاولة إنشاء باب خلفي دائم عبر SSH، وتقدّر عدد من تلقّوا الإضافة بما يصل إلى 5,000 مستخدم؛ لكنها لا تثبت أن كل جهاز مكشوف تعرّض للاختراق بالطريقة نفسها. 2
8
41
Studio Global AI
مواصلة البحث الخاص بك
تتضمن هذه الصفحة إجابة مدعومة بالمصدر يمكنك المتابعة داخل Studio Global.
يسأل الناس أيضا
ما هي الإجابة المختصرة على "إضافة Claude Code خبيثة في سوق Cursor: ما الذي حدث؟"؟
في 29 أكتوبر 2026، أتاح سوق إضافات Cursor نسخة معدّلة من Claude Code، رقمها 2.1.313، لنحو 11 ساعة.
ما هي النقاط الأساسية التي يجب التحقق منها أولاً؟
في 29 أكتوبر 2026، أتاح سوق إضافات Cursor نسخة معدّلة من Claude Code، رقمها 2.1.313، لنحو 11 ساعة. تشير الأدلة اللاحقة إلى أن التوزيع تم عبر سوق Cursor، لا Open VSX أو سوق Microsoft أو حزمة npm؛ والنسخة النظيفة البديلة هي 2.1.314.
المصادر
ox.securityMalicious Claude Code Extension Installs SSH Backdoor ...
microsoft.comInside a malicious Claude Code-branded extension and its ...
brandefense.ioMalicious Extensions: Claude Code Playbook