ส่วนขยาย Claude Code ปลอมใน Cursor: ใครต้องตรวจเครื่อง

ผู้ใช้ Cursor บน Windows หรือ macOS ที่ติดตั้งหรืออัปเดตส่วนขยาย Anthropic.claude-code จาก Cursor Marketplace ในช่วง 29 ตุลาคม 2026 ควรตรวจเครื่องทันที Cursor ระบุว่ารุ่น 2.1.312 และ 2.1.313 ที่เผยแพร่ในช่วงดังกล่าวมีโค้ดอันตรายพยายามติดตั้ง SSH backdoor

ใครอยู่ในกลุ่มที่ต้องตรวจ

ครูสอนเขียนโปรแกรม นักเรียน และนักพัฒนาที่ใช้ Cursor ควรดูแหล่งติดตั้ง รุ่น และเวลาที่อัปเดตส่วนขยาย หากไม่ได้ใช้ Cursor Marketplace ในช่วงเวลาที่ผู้ผลิตระบุ อย่าเพิ่งสรุปว่าเครื่องติดมัลแวร์จากข่าวนี้ ข่าวนี้ไม่ได้หมายความว่าส่วนขยาย Claude Code ทุกช่องทางติดมัลแวร์

โค้ดอันตรายพยายามทำอะไร

Cursor ระบุว่ามีการแก้ไฟล์ extension.js เพื่อพยายามเพิ่มกุญแจ SSH ที่ผู้โจมตีควบคุมและสร้างการเชื่อมต่อกลับ ผู้วิจัยพบข้อผิดพลาดในขั้นตอนเปิดบริการ SSH ซึ่งอาจทำให้การเข้าถึงระยะไกลไม่สำเร็จบนบางเครื่อง แต่ไม่ควรใช้ข้อผิดพลาดนั้นเป็นเหตุผลให้ละเลยการตรวจร่องรอยและข้อมูลรับรองที่เครื่องเข้าถึงได้

พบว่าเคยติดตั้งรุ่นเสี่ยงควรทำอย่างไร

เริ่มจากคู่มือของ Cursor เพื่อตรวจไฟล์ส่วนขยายและกุญแจ SSH ที่มีคำกำกับ `svc-telemetry` หากพบร่องรอย ให้แยกเครื่องออกจากเครือข่ายตามกระบวนการของหน่วยงาน เพิกถอน token และรหัสลับที่เครื่องเข้าถึงได้ ตรวจ session ที่เกี่ยวข้อง และกู้คืนจากสภาพแวดล้อมที่เชื่อถือได้ อย่าลบหลักฐานก่อนทีมไอทีบันทึกข้อมูลที่จำเป็นต่อการตรวจสอบ

ทำอะไรต่อได้บ้าง

ตรวจว่าหน่วยงานใช้งานผลิตภัณฑ์หรือการตั้งค่าที่กล่าวถึงจริงหรือไม่ บันทึกรุ่นปัจจุบันและผู้รับผิดชอบ ก่อนดำเนินการตามประกาศผู้ผลิตที่เชื่อมไว้ด้านล่าง หากเป็นระบบงานสำคัญ ให้สำรองข้อมูลและกำหนดเวลาทดสอบหลังแก้ไข

คำถามที่พบบ่อย

ใช้ VS Code Marketplace เสี่ยงตามประกาศนี้ไหม

Cursor ระบุเหตุการณ์เฉพาะส่วนขยายที่แจกผ่าน Cursor Marketplace ในช่วงเวลาที่แจ้ง

Anthropic เป็นผู้สร้างส่วนขยายอันตรายหรือไม่

Cursor ระบุว่าเวอร์ชันอันตรายไม่ได้พัฒนาโดย Anthropic

แค่ถอนส่วนขยายพอไหม

หากพบร่องรอยการติดตั้งรุ่นอันตราย ควรทำตามขั้นตอนรับมือเหตุของ Cursor รวมถึงตรวจ SSH key และข้อมูลรับรอง

แหล่งข้อมูล

• Cursor security notice (เข้าถึง 31 ตุลาคม 2569)
• BleepingComputer, 30 October 2026 (เข้าถึง 31 ตุลาคม 2569)