Pendant onze heures, la place de marché d’extensions de l’éditeur de code Cursor a distribué une version piégée de l’extension officielle Claude Code. Même nom, même éditeur affiché : pour les développeurs, c’était une mise à jour comme les autres. Le cas rappelle qu’une mise à jour n’est sûre que si toute la chaîne qui la livre l’est aussi.
Ce qui s’est passé
Cursor, éditeur de code assisté par intelligence artificielle, propose sa propre « place de marché » : un catalogue d’extensions qui ajoutent des fonctions à l’outil. Le 29 octobre 2026, entre 10 h 27 et 21 h 35 (heure de Paris), des versions modifiées de l’extension Claude Code, l’assistant de programmation d’Anthropic, y ont été publiées sous l’identifiant légitime de l’éditeur (Cursor).
Cursor a retiré ces versions, fermé sa place de marché par précaution, changé ses clés puis l’a remise en ligne. Il estime le nombre d’utilisateurs touchés à 5 000 au plus, sous Windows et macOS. Les autres catalogues (Open VSX et la place de marché de Microsoft) n’ont pas diffusé la version piégée, et Anthropic a publié une version saine (The Hacker News).
Comment l’attaque a fonctionné
Un petit bloc de code malveillant a été ajouté au début de l’extension. Il se déclenche au démarrage de l’éditeur, sans aucune action de l’utilisateur : pour ceux dont les mises à jour sont automatiques, l’installation a pu être totalement invisible.
Le code fait alors trois choses :
- il renseigne l’attaquant : nom de l’ordinateur et de l’utilisateur, système, adresse Internet, adresse e-mail utilisée pour le code, et la liste des noms de variables qui évoquent des mots de passe ou des clés (sans leur contenu) ;
- il pose une serrure dont l’attaquant a la clé : il ajoute sa propre clé de connexion à distance (SSH) sur le poste, avec une étiquette anodine qui évoque un service de mesure ;
- il tente d’ouvrir un tunnel vers l’extérieur pour que l’attaquant puisse entrer, et s’installe pour se relancer à chaque démarrage, sous des noms qui imitent des composants du système.
Bonne nouvelle relative : selon Cursor, l’ouverture du service de connexion à distance échoue sans droits administrateur, ce qui était le cas de la plupart des postes. Mais la clé, la relance automatique et l’envoi d’informations ont bien eu lieu. Le serveur de l’attaquant a depuis été mis hors ligne.
Ce qu’on ne sait pas encore
On ignore comment l’attaquant a pu publier cette mise à jour sur la place de marché de Cursor, et sur combien de postes le tunnel a réellement fonctionné.
Ce que ça change pour une PME
Même sans équipe de développement, beaucoup de PME font écrire du code par un salarié, un indépendant ou une agence. Ces postes concentrent souvent les accès les plus précieux : hébergement, site web, sauvegardes, services en ligne.
- Faites la liste des outils et extensions de développement utilisés, et de leur provenance. Une place de marché d’extensions est un fournisseur. La fiche « Pourquoi et comment bien gérer ses mises à jour ? » de Cybermalveillance.gouv.fr rappelle d’identifier tous ses logiciels et de ne les mettre à jour que depuis les sources officielles.
- Gardez les mises à jour, mais sachez réagir quand l’une d’elles est piégée. Ne coupez pas les mises à jour automatiques, elles vous protègent la plupart du temps. Désignez plutôt qui suit les alertes de sécurité de vos outils.
- Ne laissez pas les clés de l’entreprise traîner sur les postes. Mots de passe d’hébergement, clés d’accès au cloud : rangez-les dans un coffre-fort numérique et sachez les changer rapidement.
- Posez la question à votre prestataire. Utilise-t-il Cursor ou un outil équivalent ? A-t-il vérifié ses postes après cet incident ? Désinstaller l’extension ne suffit pas : il faut aussi retirer la clé ajoutée et changer les secrets du poste.
Le regard de l’auditeur
Quatre questions à vous poser, ou à poser à votre prestataire. Elles s’inspirent de ce que vérifie un auditeur ISO 27001 :
- Savons-nous quels outils et extensions sont installés sur les postes de ceux qui développent pour nous, et d’où ils viennent ?
- Qui a décidé que ces catalogues d’extensions étaient dignes de confiance, et qui est prévenu quand l’un d’eux annonce un incident ?
- Serions-nous alertés si un poste se mettait à accepter des connexions à distance ou à ouvrir un tunnel vers l’extérieur ?
- Si un poste de développement est compromis, savons-nous en une journée quels mots de passe et quelles clés changer, et dans quel ordre ?
Pour les pros : notre analyse technique (mode opératoire, MITRE ATT&CK, questions d’audit ISO 27001).
Dossier : Fournisseurs et sous-traitants
Cet article prolonge notre bulletin de veille du 31 octobre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.