Hasta 5000 desarrolladores infectados por código malicioso en el mercado de Cursor

Hasta 5000 desarrolladores resultaron infectados tras la publicación de un código malicioso en el mercado de Cursor, una herramienta de desarrollo de inteligencia artificial. El software malicioso se hizo pasar por actualizaciones de la extensión Claude Code de Anthropic, específicamente las versiones v2.1.312 y v2.1.313.

El código malicioso estuvo registrado oficialmente en el mercado de Cursor durante aproximadamente 11 horas antes de ser detectado por la empresa de seguridad Phorion y posteriormente eliminado. Según informó The Elec, el programa estaba diseñado para instalar una puerta trasera SSH persistente compatible con los entornos de Windows, macOS y Linux.

El software recolectó información del sistema, incluyendo nombres de usuario, nombres de host, direcciones IP públicas, correos electrónicos de Git, directorios de trabajo e información del sistema operativo. También recopiló nombres de variables de entorno que podrían contener claves de API y credenciales de cuentas en la nube, aunque Cursor no ha podido confirmar si los valores reales de dichas credenciales fueron transmitidos al servidor del atacante.

El código intentó abrir túneles SSH inversos, pero en la mayoría de los casos falló debido a que requería permisos de administrador en Windows y macOS. A pesar de esto, se confirmó que la información robada fue enviada a los servidores del atacante y que se implementaron mecanismos de persistencia para que el código se ejecutara tras reiniciar el equipo.

En respuesta, Cursor eliminó las versiones maliciosas, bloqueó su distribución y suspendió temporalmente todo su mercado de extensiones para VS Code. La empresa realizó una investigación exhaustiva de otras extensiones, cambió sus propias claves y colaboró con el proveedor de alojamiento del servidor del atacante para ponerlo fuera de línea.

Anthropic aclaró que el incidente no se debió a una brecha en sus propios sistemas, sino a que un atacante utilizó permisos del mercado de Cursor para subir una versión falsificada. La empresa añadió que las versiones distribuidas a través de sus canales oficiales son seguras y que el impacto se limitó a los usuarios de Cursor.

En un hecho relacionado, SpaceX adquirió la empresa desarrolladora de Cursor, Anysphere, por un monto de 60000000000 USD en agosto. Según una encuesta de desarrolladores de 2026 publicada por Stack Overflow a principios de octubre, Cursor posee una cuota de mercado del 26% entre las herramientas de codificación o agentes de inteligencia artificial utilizados por los encuestados.