Peristiwa viral hari ini datang dari dunia keamanan perangkat lunak: versi palsu ekstensi Claude Code di marketplace Cursor menyusup ke sekitar 5.000 mesin pengembang. Ekstensi bernomor versi 2.1.313 itu bukan dirilis Anthropic, tetapi tampil sebagai pembaruan resmi di toko aplikasi milik Cursor. Insiden ini berlangsung sekitar 11 jam sebelum akhirnya ditarik.
Menurut Cursor, versi bermasalah tersedia antara pukul 02.27 dan 13.35 waktu Pasifik pada Kamis, 29 Oktober 2026. Dalam waktu UTC, rentangnya 09.27 sampai 20.35. Artinya, pengembang di Indonesia yang memasang atau memperbarui ekstensi pada jam kerja WIB berpotensi terkena.
Kasus ini penting karena menyentuh alat yang dipakai sehari-hari untuk menulis kode. Banyak tim di Indonesia memakai ekstensi editor dan asisten koding tanpa memeriksa penerbit, versi, atau kanal distribusinya. Artikel ini merangkum kronologi, temuan teknis, bantahan Anthropic, dan langkah pembersihan.
Viral Hari Ini: Ekstensi Resmi Berubah Jadi Pintu Belakang
Ekstensi yang disusupi adalah Claude Code untuk Visual Studio Code yang dipublikasikan di marketplace Cursor. Menurut laporan The Register, pihak tak dikenal mendorong pembaruan berisi backdoor SSH permanen yang dirancang untuk Windows, macOS, dan Linux.
Penyusupan pertama kali ditemukan vendor keamanan Phorion. Dalam analisisnya, Phorion menyebut paket tersebut mengumpulkan informasi tentang mesin dan pengguna, lalu mengirimkannya ke server penyerang.
Informasi yang diambil mencakup nama pengguna, alamat surel Git yang terkonfigurasi, dan alamat IP publik. Selain itu, implan mencoba membuka terowongan SSH balik agar penyerang bisa masuk ke perangkat korban.
Cursor mengonfirmasi temuan itu dan menyebut paket tersebut punya cacat kritis. Skrip pembuka terowongan membutuhkan hak administrator di macOS dan Windows, dan pada sebagian besar kasus hak itu tidak tersedia sehingga upaya terowongan gagal.
Iklan
Campus Commercial Park: rukost di kawasan kampus
C.CO Park menghadirkan kawasan ruko dan kost dalam satu gerbang, dirancang untuk mahasiswa dan penghuni sekitar kampus. Cocok untuk yang mencari aset produktif dengan pengelolaan kawasan yang tertata.
Apa yang Dititipkan ke Perangkat Korban
Meski terowongan gagal, bagian lain dari implan tetap bekerja. Paket tersebut menanam kunci SSH milik penyerang ke berkas authorized_keys, sehingga akses bisa dibuka kembali kapan saja.
Data host dan pengguna juga tetap diteruskan ke server penyerang. Dengan demikian, meski indikasi awalnya terlihat gagal, perangkat korban belum tentu bersih.
Phorion menyebut mekanisme persistensi ini sebagai bagian paling berbahaya. Menghapus atau memperbarui ekstensi tidak otomatis menghilangkan kunci yang sudah ditanam.
Karena itu, pengguna yang pernah memasang versi 2.1.313 perlu memeriksa berkas authorized_keys, kunci SSH yang tidak dikenal, serta koneksi keluar yang mencurigakan dari perangkatnya.
Bantahan Anthropic dan Versi Resmi
Anthropic membantah sistemnya diretas. Felix Rieseberg, anggota staf teknis Anthropic, menyatakan perusahaan sedang bekerja sama dengan Cursor, tetapi insiden ini bukan kompromi atas sistem atau laptop karyawan Anthropic.
Menurut Rieseberg, aktor jahat memakai akses ke marketplace Cursor untuk menerbitkan salinan ekstensi yang sudah diubah. Versi di kanal resmi Anthropic tidak terpengaruh, dan dampaknya hanya dirasakan pengguna Cursor.
Pernyataan itu penting untuk memisahkan dua hal: apakah kode sumber Anthropic bocor, dan apakah ada paket palsu yang lolos ke toko aplikasi pihak ketiga. Yang terjadi menurut Anthropic adalah hal kedua.
Namun, The Register mencatat bahwa Cursor maupun Anthropic belum menjelaskan bagaimana paket berbahaya itu bisa masuk ke marketplace resmi. Pertanyaan itu masih terbuka dan layak dipantau.
Langkah Cursor Menutup Celah
Cursor menyatakan langsung menarik versi berbahaya setelah terdeteksi dan memblokir distribusinya. Perusahaan juga mematikan sementara marketplace VS Code sebagai langkah kehati-hatian.
Setelah itu, Cursor memeriksa ekstensi lain untuk memastikan tidak ada paket yang disusupi dengan cara serupa. Perusahaan juga merotasi kunci miliknya sebelum memulihkan marketplace.
Cursor bekerja sama dengan penyedia layanan awan untuk memblokir koneksi ke server penyerang. Langkah ini penting agar perangkat yang sudah tertanam kunci tidak bisa menghubungi pengendalinya.
Panduan pembersihan lengkap dan skrip penghapus infeksi tersedia di pengumuman resmi Cursor. Pengguna disarankan mengikuti langkah tersebut, bukan hanya memperbarui ekstensi ke versi terbaru.
