كشف تطبيق Cursor عن حادثة أمنية في سوق إضافات محرر الأكواد الخاص به، بعد توزيع نسختين معدلتين بصورة خبيثة من إضافة Claude Code تحملان الرقمين 2.1.312 و2.1.313. لم تطورهما شركة Anthropic، بل احتوتا على شيفرة حاولت زرع باب خلفي يعتمد على SSH للوصول عن بُعد إلى أجهزة المطورين.
وبحسب إشعار Cursor الأمني المنشور في 29 أكتوبر والمحدّث في 30 أكتوبر 2026، ظلت النسختان متاحتين في سوق إضافات Cursor بين الساعة 2:27 صباحًا و1:35 ظهرًا بتوقيت المحيط الهادئ يوم 29 أكتوبر. وقد يصل عدد المستخدمين الذين تعرضوا لهما إلى 5,000 مستخدم، وفق ما نقلته Reuters عن الشركة.
كيف عملت الإضافة الخبيثة؟
لم تكن المشكلة مجرد إضافة مزيفة تطلب من المستخدم تنفيذ أمر مشبوه؛ فقد أُدرجت الشيفرة الخبيثة داخل حزمة الإضافة نفسها، بحيث يبدأ جزء منها العمل عند تحميل وحدة الإضافة. وحاولت الشيفرة جمع معلومات عن الجهاز والمستخدم، من بينها اسم الجهاز واسم المستخدم ونظام التشغيل والمعمارية ومجلد المستخدم ومجلدات العمل وبريد Git العام وعنوان IP، إضافة إلى أسماء بعض متغيرات البيئة التي قد تشير إلى وجود إعدادات حساسة.
بعد ذلك حاولت الإضافة إضافة مفتاح SSH يتحكم فيه المهاجم إلى ملف authorized_keys، وتشغيل خدمة SSH المحلية، ثم إنشاء نفق SSH عكسي يسمح بمحاولة الوصول إلى الجهاز من خادم خارجي. كما أنشأت آليات لاستمرار المحاولة بعد إعادة التشغيل، مثل LaunchAgent في macOS ومهمة مجدولة في Windows.
هل تمكن المهاجمون من السيطرة على الأجهزة؟
يجب التمييز بين ما حاولت الشيفرة تنفيذه وما ثبت نجاحه. أوضحت Cursor أن تشغيل خدمة SSH يتطلب صلاحيات إدارية، وأن هذه الخطوة فشلت على معظم أجهزة macOS وWindows بسبب قيود الصلاحيات وأخطاء في الشيفرة الخبيثة. لكن ذلك لا يعني أن الأجهزة التي ثبتت الإضافة آمنة تلقائيًا؛ إذ أكدت الشركة أن الحمولة الخبيثة أضافت مفتاح المهاجم، وأنشأت ملفات للاستمرارية وأرسلت معلومات عن الجهاز.
وأكد تحليل Microsoft Security Research أن الشيفرة جمعت أسماء متغيرات البيئة لا قيمها، ولذلك لا يثبت هذا وحده أن كلمات المرور أو مفاتيح API قد سُرقت. لكنه لا يستبعد احتمال وصول المهاجم إلى بيانات أخرى إذا نجح في إنشاء قناة وصول عن بُعد. كما أوضحت Microsoft أن الحادثة اقتصرت، وفق الأدلة المتاحة، على سوق إضافات Cursor؛ ولم تتأثر نسخة الإضافة المنشورة في Microsoft Visual Studio Marketplace أو حزمة npm الرسمية، ولم تكن أنظمة Anthropic مخترقة.
ماذا فعلت Cursor لاحتواء الحادثة؟
حذفت Cursor النسختين من السوق وأوقفت توزيع الإضافة، ثم أغلقت سوق إضافات VS Code مؤقتًا كإجراء احترازي. وقالت الشركة إنها راجعت صلاحيات الوصول، ولم تجد دليلًا على العبث بإضافات أخرى، ودوّرت مفاتيحها وأعادت بناء السوق قبل تشغيله مجددًا. كما تعاونت مع مزود الاستضافة لإيقاف خادم المهاجم، ما عطّل قناة النفق والاتصال المستخدمة في الحادثة.
ما الذي ينبغي على المطورين فعله؟
إذا ثبّتت أو حدّثت إضافة Anthropic.claude-code إلى الإصدار 2.1.312 أو 2.1.313 من سوق Cursor على Windows أو macOS خلال فترة التعرض المذكورة، فلا تعتمد على حذف الإضافة وحده. توصي Cursor بفحص الأجهزة بحثًا عن مؤشرات الاختراق، وعزل الأجهزة التي تظهر عليها آثار تنفيذ الحمولة، وإزالة مفتاح SSH غير المصرح به وملفات الاستمرارية والعمليات المرتبطة بالنفق. وقد يلزم إعادة بناء الجهاز بحسب نتائج الفحص.
من المؤشرات التي حددتها Cursor وجود تعليق المفتاح svc-telemetry داخل ملفات authorized_keys. كما تنشر الشركة أوامر فحص وسكربتات معالجة خاصة بـ Windows وmacOS في إشعارها الأمني. وبعد تنظيف الجهاز، ينبغي تغيير كلمات المرور والمفاتيح والجلسات التي كان يمكن الوصول إليها من الجهاز المصاب، على جهاز موثوق ونظيف.
لماذا تعد الحادثة مهمة؟
توضح الحادثة أن سوق الإضافات نفسه جزء من سلسلة توريد البرمجيات، وأن ظهور اسم ناشر معروف أو إضافة موثوقة داخل متجر طرف ثالث لا يكفي وحده لضمان سلامة كل حزمة يتم توزيعها. وبالنسبة للمطورين، فإن إضافات بيئة العمل قد تمتلك وصولًا واسعًا إلى ملفات المشروع وبيانات الاعتماد وأدوات التطوير؛ لذلك يجب التعامل مع تحديثاتها باعتبارها مكونات برمجية تحتاج إلى تحقق ومراقبة، لا مجرد تحسينات شكلية.
الخلاصة: الحادثة لم تثبت اختراق جميع من حمّل الإضافة، كما أن نجاح النفق العكسي لم يكن مضمونًا على معظم الأجهزة. لكن وجود مفتاح SSH وآليات استمرارية ومعلومات جُمعت من الأجهزة يجعل فحص الإصدارات المتأثرة وتنظيفها أمرًا ضروريًا، حتى بعد إزالة الحزمة من المتجر.
المصادر
- إشعار Cursor الأمني: النسختان الخبيثتان 2.1.312 و2.1.313 وخطوات الفحص والمعالجة.
- تحليل Microsoft Security Research لسلسلة الهجوم والباب الخلفي.
- Reuters: تقدير عدد المستخدمين المحتمل تأثرهم بالحادثة.
اكتشاف المزيد من lightweb2
اشترك للحصول على أحدث التدوينات المرسلة إلى بريدك الإلكتروني.
