# Backdoor nell'estensione Claude Code: cosa è successo davvero e cosa fare

> Il 29 ottobre 2026 una versione manomessa dell'estensione Claude Code è rimasta per circa 11 ore nel marketplace di Cursor e ha installato una backdoor SSH persistente su un massimo di 5.000 macchine. Cosa è confermato, cosa no, e i controlli da fare subito.

- Pubblicato: 2026-10-30
- Per chi: Sviluppatori, responsabili IT e aziende che usano Claude Code in Cursor o in altri editor derivati da VS Code
- URL: https://cloudfactory.it/idee/backdoor-estensione-claude-code-cursor/

## La notizia: un'estensione fidata con dentro una backdoor

Il 29 ottobre 2026 una versione manomessa dell'estensione Claude Code, la 2.1.313, è rimasta per circa 11 ore nel marketplace di estensioni di Cursor e ha installato una backdoor SSH persistente su un massimo di 5.000 macchine di sviluppatori, secondo Cursor ([Cursor](https://cursor.com/blog/claude-code-extension-security-notice)).

Il titolo più condiviso, «Anthropic è stata hackerata e ha distribuito un trojan a milioni di endpoint», al momento non è supportato dalle prove: il canale confermato è uno solo, il marketplace di Cursor. Restano però due fatti seri. Il pacchetto viaggiava sotto l'identificativo ufficiale `Anthropic.claude-code`, e chi l'ha installato deve bonificare la macchina a mano, perché l'aggiornamento non basta.

## Cosa è successo

L'unico canale di distribuzione confermato è il marketplace di estensioni che Cursor gestisce in proprio. Le prime segnalazioni su Open VSX, npm e Visual Studio Marketplace sono state smentite o ritirate. Orari in ora italiana.

| Quando | Chi | Cosa |
| --- | --- | --- |
| 30 ott, 10:26 | [Socket](https://socket.dev/blog/claude-code-extension-compromise) | Nessuna traccia della 2.1.313 nel registro modifiche di Open VSX né nella cronologia npm; sospetta che lo screenshot della prima segnalazione fosse ritoccato |
| 30 ott, mattina | [Kevin Beaumont](https://cyberplace.social/@GossiTheDog/117528831681803563) | Thread «Anthropic è stata compromessa», poi un articolo che parla di milioni di endpoint |
| 30 ott | [OpenSourceMalware](https://opensourcemalware.com/blog/trojanized-claude-code-extension-plants-persistent-ssh-backdoor) | Analisi del campione macOS; il post, che inizialmente indicava Open VSX, è stato rivisto e precisa che la provenienza del campione non è accertata |
| 30 ott | [Phorion](https://phorion.io/blog/offical-claude-code-vsx-compromise/) | Advisory che attribuisce la backdoor alla versione su Open VSX; attribuzione poi superata dall'avviso di Cursor |
| 30 ott, 02:17 | Anthropic | Esce la 2.1.314 sul Visual Studio Marketplace (su npm alle 01:12) |
| 29 ott, sera | [Cursor](https://cursor.com/blog/claude-code-extension-security-notice) | Avviso di sicurezza: rimossa la versione, marketplace ricostruito con chiavi ruotate, server dell'attaccante spento |
| 29 ott, 10:27-21:35 | Marketplace Cursor | La 2.1.313 malevola (build macOS Apple Silicon e Windows x64) resta disponibile per circa 11 ore |

Cursor afferma che la versione malevola non è stata sviluppata da Anthropic e di non avere prove che altre versioni o la distribuzione ufficiale siano coinvolte ([Help Net Security](https://www.helpnetsecurity.com/2026/10/30/claude-code-extension-ssh-backdoor/)). The Hacker News riporta che il problema è stato ricondotto a una compromissione del marketplace di Cursor stesso ([The Hacker News](https://thehackernews.com/2026/10/official-claude-code-vs-code-extension.html)). Resta aperta la domanda centrale: come ha fatto un pacchetto non di Anthropic a comparire sotto l'identificativo di Anthropic. Nessuna delle parti l'ha ancora spiegato nel dettaglio.

## Come funziona la backdoor

Bastava che l'editor caricasse l'estensione: nessuna chat con Claude, nessuno script di installazione. Il resto dell'estensione funzionava normalmente, quindi l'utente non notava nulla.

1. **Loader.** In testa al file `extension.js` sono state aggiunte 66 righe di JavaScript che girano prima del codice legittimo, all'avvio dell'editor o all'apertura della webview ([ThreatLandscape](https://threatlandscape.io/blog/trojanized-claude-code-extension-2-1-313-ssh-backdoor)).
2. **Chiave SSH.** Il loader aggiunge la chiave dell'attaccante al file `authorized_keys` dell'utente, con l'etichetta `svc-telemetry`, e dove i permessi lo consentono prova ad attivare il servizio SSH.
3. **Tunnel inverso.** Apre una connessione SSH in uscita verso `134.209.82.225`, che permette all'operatore di rientrare nella macchina. Il tunnel sopravvive alla chiusura dell'editor e si ricollega circa ogni 60 secondi.
4. **Persistenza.** Installa meccanismi di avvio specifici per sistema: LaunchAgent su macOS, crontab su Linux, attività pianificata su Windows. Disinstallare l'estensione o aggiornarla alla 2.1.314 non li rimuove.
5. **Ricognizione.** Invia in HTTP non cifrato, sulla porta 8099, i dati dell'host: nome macchina, utente, sistema operativo, architettura, cartella home, nomi delle variabili d'ambiente, cartelle di lavoro ed email configurata in Git.

L'ultimo punto spiega perché si parla di accesso «a scelta»: la ricognizione dava all'attaccante una lista di vittime da cui scegliere su quali entrare a mano. Secondo Cursor il server dell'attaccante è ora offline.

## Il silenzio di Anthropic

Al pomeriggio del 30 ottobre Anthropic non ha pubblicato alcuna comunicazione: nessuna risultava sul sito, sulla pagina di stato o tra gli advisory di sicurezza del repository di Claude Code ([Rescana](https://www.rescana.com/post/claude-code-extension-2-1-313-cursor-marketplace-trojanized-ssh-backdoor), [CellCog](https://cellcog.ai/blog/claude-code-extension-backdoor/)).

In pratica Anthropic ha agito senza spiegare. La 2.1.314 è uscita su npm, Open VSX e Visual Studio Marketplace nella notte tra il 29 e il 30, e la numerazione ufficiale salta la 2.1.313. Il changelog della 2.1.314 non nomina l'incidente ([Socket](https://socket.dev/blog/claude-code-extension-compromise)).

Su questo punto le critiche sono fondate anche ridimensionando il resto. Il pacchetto portava il nome di Anthropic e l'aggiornamento automatico l'ha installato senza intervento: chi usa l'estensione ha bisogno di sapere da Anthropic quali canali sono sicuri, non di ricostruirlo dai blog di terzi. Un salto di versione, da solo, non prova nulla: Socket nota altri numeri mancanti nella stessa serie.

## Binance: coincidenza o causa?

Nessuna fonte ha collegato il furto da circa 6,3 miliardi di dollari a Binance con l'estensione: per ora il collegamento è un'ipotesi che circola sui social. Gli indizi che la alimentano sono tre.

- Binance indica come probabile punto d'ingresso il laptop compromesso di un ingegnere DevOps, da cui l'attaccante è arrivato a un container di servizio e ha inviato prelievi non autorizzati ([The Hacker News](https://thehackernews.com/2026/10/binance-suffers-security-breach.html)).
- La transazione che ha preso il controllo del wallet caldo Binance 14 è delle 21:20 del 29 ottobre, ora italiana, dentro la finestra in cui la 2.1.313 era online ([crypto.news](https://crypto.news/binance-hack-eip-7702-wallet-attack/)).
- Kevin Beaumont afferma di aver verificato che Binance usa Claude Code in Cursor con questa estensione.

Gli elementi contrari pesano altrettanto. Secondo TRM Labs la preparazione dell'attacco era in corso da almeno 36 ore prima del furto, quindi da prima che la 2.1.313 comparisse. Binance parla di un attacco complesso con più punti di violazione e non ha ancora pubblicato la causa ([Euronews](https://www.euronews.com/2026/10/30/how-the-binance-hack-happened-and-who-was-behind-it)).

## Cosa fare subito

È a rischio chi ha usato Claude Code dentro Cursor il 29 ottobre. Chi usa solo VS Code con il marketplace di Microsoft, o Claude Code da terminale, non risulta coinvolto. In caso di dubbio conviene verificare comunque: i controlli richiedono pochi minuti.

1. **Cercate la versione.** Nella cartella estensioni di Cursor (`~/.cursor/extensions`) cercate una directory `anthropic.claude-code-2.1.313-*`, oppure la versione nella cronologia di installazione.
2. **Cercate la chiave.** `grep svc-telemetry ~/.ssh/authorized_keys`, e controllate che nel file non ci siano altre chiavi che non riconoscete.
3. **Aggiornate.** Portate l'estensione alla 2.1.314 o successiva, sapendo che da sola non rimuove nulla.
4. **Bloccate l'indirizzo.** Sul firewall bloccate `134.209.82.225` sulle porte 22 e 8099 e cercate nei log connessioni passate verso quell'indirizzo.
5. **Bonificate.** Sulle macchine colpite usate gli script per macOS e Windows pubblicati da [Cursor](https://cursor.com/blog/claude-code-extension-security-notice), che rimuovono estensione, chiave, persistenza e tunnel attivi.
6. **Ruotate le credenziali.** Da una macchina pulita: chiavi SSH, token Git, chiavi API e cloud, segreti nelle variabili d'ambiente e sessioni aperte.
7. **Nel dubbio, reinstallate.** Se c'è stata anche solo la possibilità di accesso interattivo, reinstallate il sistema invece di bonificarlo ([ThreatLandscape](https://threatlandscape.io/blog/trojanized-claude-code-extension-2-1-313-ssh-backdoor)).

## La lezione per chi gestisce postazioni di sviluppo

Il punto debole non era Claude Code ma la catena che lo consegna: un marketplace di terze parti, un nome fidato e l'aggiornamento automatico. Nessuno doveva cadere in un'estensione falsa da riconoscere: bastava aver installato quella giusta e lasciarla aggiornarsi.

- **Gli editor derivati da VS Code non usano lo store di Microsoft.** Cursor, Windsurf e simili attingono a Open VSX o a marketplace propri, con controlli diversi. Va saputo quale fonte usa ogni postazione.
- **L'aggiornamento automatico delle estensioni è un canale di distribuzione.** Dove possibile conviene bloccare le versioni e ritardare gli aggiornamenti di qualche giorno, almeno sulle macchine con accesso a produzione.
- **I laptop degli sviluppatori sono infrastruttura.** Contengono chiavi SSH, token e accessi cloud: vanno monitorati e separati dagli accessi privilegiati, come mostra il caso Binance qualunque ne sia la causa.

In queste ore la versione più condivisa della storia è anche la più grave e la meno verificata. Per decidere cosa fare servono i fatti confermati, e oggi quelli puntano a un singolo marketplace, una singola versione e una finestra di 11 ore.

## Come lavoriamo

In Cloudfactory gestiamo server, postazioni e accessi per aziende e studi professionali. Quando esce un incidente come questo verifichiamo subito se riguarda i sistemi che seguiamo, controlliamo gli indicatori pubblicati e, se serve, ruotiamo le credenziali e reinstalliamo.

Se nel vostro team qualcuno usa Cursor o altri editor con estensioni AI e non siete sicuri di cosa sia installato, [scriveteci](https://cloudfactory.it/contatti/): facciamo i controlli e vi diciamo cosa fare.

## Come abbiamo scritto questo articolo

In Cloudfactory usiamo l'intelligenza artificiale anche nel lavoro editoriale: ci aiuta a cercare e incrociare le fonti, a confrontare i dati, a impostare la struttura e a rifinire la lingua. Il sistema che usiamo è configurato da noi, con istruzioni, esempi e procedure costruiti sul nostro modo di scrivere. Il nostro team ha controllato ogni fonte, corretto il testo e approvato la versione pubblicata. Le valutazioni e le scelte sono di Cloudfactory, e ne rispondiamo noi.

Per trasparenza: il modello che usiamo è Claude, di Anthropic, cioè l'azienda di cui parla l'articolo. Per questo ogni affermazione si basa su fonti di terze parti citate qui sotto.

## Domande frequenti

### Anthropic è stata hackerata?

Non ci sono prove. Il canale confermato è il marketplace di estensioni di Cursor, e Cursor afferma che la versione malevola non è stata sviluppata da Anthropic. Anthropic al 30 ottobre non ha pubblicato comunicazioni.

### Uso Claude Code da terminale: sono a rischio?

Secondo le analisi pubblicate no: il pacchetto npm non ha mai avuto una versione 2.1.313. Il rischio riguarda l'estensione installata in Cursor.

### Uso l'estensione in VS Code: sono a rischio?

Non risulta che la versione malevola sia mai stata sul Visual Studio Marketplace di Microsoft. Il controllo della chiave svc-telemetry richiede comunque pochi secondi.

### Basta aggiornare alla 2.1.314?

No. La backdoor installa script e meccanismi di avvio indipendenti dall'estensione: vanno rimossi a mano o con gli script di Cursor, e le credenziali vanno ruotate.

## Fonti

- [Cursor, avviso di sicurezza su Anthropic.claude-code 2.1.313](https://cursor.com/blog/claude-code-extension-security-notice)
- [Socket, Cursor Removes Malicious Claude Code 2.1.313 Extension From Its Marketplace](https://socket.dev/blog/claude-code-extension-compromise)
- [The Hacker News, Official Claude Code Extension on Cursor Marketplace Trojanized](https://thehackernews.com/2026/10/official-claude-code-vs-code-extension.html)
- [Phorion, Official Claude Code Extension Compromise](https://phorion.io/blog/offical-claude-code-vsx-compromise/)
- [OpenSourceMalware, Trojanized Claude Code Extension Plants an SSH Backdoor](https://opensourcemalware.com/blog/trojanized-claude-code-extension-plants-persistent-ssh-backdoor)
- [Kevin Beaumont su cyberplace.social](https://cyberplace.social/@GossiTheDog/117528831681803563)
- [Help Net Security, Claude Code extension poisoned with persistent SSH backdoor](https://www.helpnetsecurity.com/2026/10/30/claude-code-extension-ssh-backdoor/)
- [ThreatLandscape, analisi tecnica e bonifica](https://threatlandscape.io/blog/trojanized-claude-code-extension-2-1-313-ssh-backdoor)
- [Rescana, Trojanized Claude Code Extension 2.1.313](https://www.rescana.com/post/claude-code-extension-2-1-313-cursor-marketplace-trojanized-ssh-backdoor)
- [CellCog, Claude Code Extension Backdoored](https://cellcog.ai/blog/claude-code-extension-backdoor/)
- [The Hacker News, Binance Suffers Security Breach](https://thehackernews.com/2026/10/binance-suffers-security-breach.html)
- [Euronews, How the Binance hack happened](https://www.euronews.com/2026/10/30/how-the-binance-hack-happened-and-who-was-behind-it)
- [crypto.news, Binance hack ed EIP-7702](https://crypto.news/binance-hack-eip-7702-wallet-attack/)

---

Cloudfactory S.r.l., Roma. Contatti: hello@cloudfactory.it