拡張機能を削除した後も、端末に残る接続設定を調べる
バグマゲドン対策委員会 · 日本語編集版 · 内容更新 2026-11-02
Microsoftは、改ざんされたClaude Code拡張がSSH鍵や自動起動設定を端末へ残そうとする動作を分析した。
日本語要約・編集：バグマゲドン対策委員会。本記事公開：2026-11-02 / 本記事更新：2026-11-02 / 原文確認：2026-11-02。
原文発行：Microsoft Security Research / 原文の分析者・著者：Microsoft Security Research / 原文公表：2026-10-30。
観測期間・対象時点：10月29日にCursorが公表した改ざん版のコード分析。各端末での実行成功率は示されていない。
報告の対象範囲：Cursor拡張マーケットプレイスの当該配布。全開発者の被害率ではない。
観測・報告されたこと
遠隔接続に失敗しても、鍵や自動起動の痕跡が残る可能性がある。拡張の削除だけでは別の場所に書かれた設定は消えない。
- MicrosoftはVisual Studio Marketplaceとnpm配布版が本件の影響を受けていないと確認している。
分析者の見解
一つのファイル名だけで判断せず、導入履歴、通信、認証、起動設定を照合し、証拠を残してから対処する必要があるとする。
自社で確認すること
Cursorから該当版を入れた端末を確認し、調査担当へSSH鍵と起動設定の点検を依頼する。正規の設定を一括削除せず、露出が疑われる認証情報への対応は調査結果で判断する。
原文の分析に基づく編集部の確認案
読み取るときの注意点
- 解析コードが試みる動作と、各端末で成功した侵入は別。環境変数名の報告を、その値や秘密情報の窃取が確認されたことと混同しない。
原文
一次資料の要点を独自の日本語で再編集。全文翻訳・直接引用ではない。「自社で確認」は編集部による一般的な確認案。分析者の見解と確認された事実を分ける。地域は主な発信地域で、攻撃元を示さない。