ส่วนขยาย Claude Code ปลอมฝังแบ็กดอร์ SSH บน Cursor Marketplace — อยู่ 11 ชั่วโมง กระทบไม่เกิน 5,000 คน ถอนส่วนขยายอย่างเดียวไม่พอ

Cursor ประกาศเมื่อ 29 ต.ค. 2026 ว่าพบส่วนขยาย Anthropic.claude-code ที่ถูกดัดแปลงอยู่ใน Cursor VS Code Extension Marketplace ตั้งแต่ราว 02:27 ถึง 13:35 น. ตามเวลาแปซิฟิก หรือประมาณ 16:27 น. ของวันที่ 29 ถึง 03:35 น. ของวันที่ 30 ตามเวลาไทย รวมราว 11 ชั่วโมง กระทบผู้ใช้ ไม่เกิน 5,000 คน ทันทีที่ Node โหลดไฟล์ โค้ดอันตรายก็ทำงาน ผู้ใช้ไม่ต้องกดอะไรเลย

ถ้าคุณใช้ Cursor แล้วติดตั้งหรืออัปเดตส่วนขยายนี้ในช่วงเวลาดังกล่าว ให้ตรวจเครื่องวันนี้ เพราะการถอนส่วนขยายออกไม่ได้ล้างแบ็กดอร์ สคริปต์ persistence ที่ถูกวางไว้ทำงานแยกจากตัวส่วนขยาย

ตรวจว่าโดนไหม

Cursor ระบุขอบเขตว่าเป็นเวอร์ชัน 2.1.312 และ 2.1.313 บน macOS และ Windows ซึ่งแก้จากประกาศแรกที่พูดถึงแค่ 2.1.313 (อัปเดต 30 ต.ค. เวลา 11:30 น. PT) วิธีเช็กเบื้องต้นบน macOS คือหาคีย์ของคนร้ายใน authorized_keys

grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found"

ถ้าเจอคีย์ ให้ถือว่าเครื่องโดนแล้ว แยกเครื่องออกจากเครือข่าย ใช้สคริปต์ remediate-macos.sh หรือ remediate-windows.ps1 จากประกาศของ Cursor แล้วพิจารณาลงเครื่องใหม่ จากนั้น เปลี่ยน credential ทั้งหมดจากเครื่องอื่นที่ไว้ใจได้ และอัปเดตเป็น 2.1.314 ขึ้นไป

Cursor ระบุขอบเขตไว้ที่ macOS กับ Windows แต่โค้ดของมัลแวร์มีเส้นทางสำหรับ Linux ด้วย และรายการ IOC ก็มีไฟล์ฝั่ง Linux ผู้ใช้ Linux จึงควรตรวจเช่นกัน

ไฟล์ที่ควรหาเพิ่ม ได้แก่ ~/.config/.smt, ~/.config/.smtk, ~/Library/LaunchAgents/com.apple.sysmond.plist บน macOS และ scheduled task ชื่อ SysMon หรือ sysmon.cmd ใน Startup บน Windows Phorion แนะนำให้ล่าด้วย fingerprint ของคีย์ SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk ไม่ใช่แค่ comment ของคีย์

มัลแวร์ทำอะไร

Phorion บริษัทความปลอดภัยที่เผยแพร่รายงานเชิงเทคนิคอธิบายว่า โค้ดถูกแปะไว้หน้าไฟล์ extension.js และรันก่อน activate จะถูกเรียก โดยทำงานเป็น 4 ขั้น

1. เพิ่ม public key ของคนร้ายลงใน ~/.ssh/authorized_keys แล้วพยายามเปิดบริการ SSH ในเครื่อง
2. เปิด reverse SSH tunnel ออกไปยังเซิร์ฟเวอร์ 134.209.82[.]225 เพื่อให้คนร้ายย้อนกลับเข้าเครื่องได้โดยไม่ต้องเปิดพอร์ตขาเข้า
3. ฝัง persistence ด้วย LaunchAgent ที่ปลอมชื่อเป็น com.apple.sysmond บน macOS หรือ scheduled task บน Windows พร้อมลูปเชื่อมต่อใหม่ทุก 60 วินาที
4. ส่งข้อมูลเครื่องกลับไป เช่น hostname, username, Git email, public IP และ ชื่อ ตัวแปรแวดล้อมที่เข้าข่าย KEY|TOKEN|SECRET|PASS|AWS|GCP สูงสุด 40 ตัว ไม่ใช่ค่าของมัน

ข้อ 4 น่าสนใจ เพราะมันคือการทำบัญชีเป้าหมาย คนร้ายรู้ว่าเครื่องไหนมี credential ของคลาวด์ก่อนจะเลือกเข้าไปจริง

ข่าวดีคือมัลแวร์เขียนมาไม่ดี บน macOS คำสั่ง systemsetup -getremotelogin ที่รันโดยไม่มีสิทธิ์แอดมินจะพิมพ์ข้อความ error แล้วออกด้วยสถานะ 0 สคริปต์จึงเข้าใจผิดและข้ามขั้นตอนเปิด SSH ส่วนบน Windows ตัวช่วยรันคำสั่งถูกล็อกไว้กับ /bin/sh Cursor จึงสรุปว่าบนเครื่องส่วนใหญ่คนร้าย น่าจะล็อกอินผ่านอุโมงค์ไม่ได้ และเซิร์ฟเวอร์คนร้ายก็ถูกปิดไปแล้ว แต่คีย์, persistence และข้อมูลเครื่องยังถูกส่งออกไปจริง ส่วนเครื่องที่เปิด Remote Login อยู่ก่อนไม่ได้รับการคุ้มกันจากบั๊กนี้ Cursor เองย้ำให้ทำขั้นตอนแก้ไขทุกกรณี

ข้อถกเถียง: Anthropic ถูกแฮ็กหรือไม่

หลังข่าวออก มีการตั้งข้อสงสัยว่าเวอร์ชัน 2.1.313 หายไปจาก registry อื่นด้วย จึงตีความว่าต้นทางของ Anthropic ถูกเจาะ รายงานของ Phorion เองก็เขียนว่า NPM และ VS Code เวอร์ชัน 2.1.313 ถูกดึงออก

แต่หลักฐานชี้ไปอีกทาง พนักงาน Anthropic ชื่อ Dworken ตอบบน Hacker News ว่า 2.1.313 ไม่เคยถูกเผยแพร่ บน OpenVSX, VS Code Marketplace หรือช่องทางทางการใด ๆ และบริษัทตั้งใจกระโดดเลขไป 2.1.314 เพื่อไม่ให้สับสนกับตัวปลอม เราตรวจซ้ำเอง พบว่า CHANGELOG.md, Git tag ใน anthropics/claude-code และ Open VSX ข้ามจาก 2.1.312 ไป 2.1.314 จริง และบันทึกเวลาของแพ็กเกจบน npm ก็ไม่มี 2.1.313 เลย ซึ่งสอดคล้องกับคำอธิบายนี้มากกว่าการเผยแพร่แล้วลบ

Cursor ก็ยืนยันว่า “ไม่มีหลักฐานว่าเวอร์ชันอื่นหรือช่องทางทางการได้รับผลกระทบ” อย่างไรก็ดี ยังไม่มีใครเปิดเผยสาเหตุว่าคนร้ายวางไฟล์เข้า marketplace ได้อย่างไร ทราบเพียงว่า Cursor หมุนคีย์ สร้าง marketplace ใหม่ และตรวจการเข้าถึงแล้วไม่พบส่วนขยายอื่นถูกแก้ ประเด็นนี้จึงยังต้องรอ post-mortem

มุมมอง AI Curator

เรื่องนี้เตือนว่า IDE ตระกูล VS Code fork มี supply chain แยกของตัวเอง ส่วนขยายที่แสดงชื่อ Anthropic บน Cursor ไม่ได้แปลว่าไฟล์นั้นเป็นไฟล์เดียวกับที่ Anthropic เผยแพร่ การตรวจว่าเวอร์ชันนั้นมีอยู่ที่ต้นทางจริงหรือไม่เป็นวิธีง่าย ๆ ที่จะจับเคสนี้ได้ เพราะมีเลขเวอร์ชันที่ไม่เคยมีอยู่จริงโผล่มา และเป็นสิ่งที่ marketplace ควรทำอัตโนมัติมากกว่าปล่อยให้นักพัฒนาสังเกตเอง

ส่วนขยายของเอเจนต์ยังเป็นเป้าหมายที่คุ้มกว่าส่วนขยายทั่วไป เครื่องนักพัฒนามักมี SSH key, token คลาวด์ และสิทธิ์ push โค้ดอยู่ครบ บริษัทไทยหรือทีมใน SEA ที่ให้พนักงานใช้ Cursor ควรมีอย่างน้อยสามอย่าง คือ allowlist ส่วนขยายพร้อม pin เวอร์ชัน, การแจ้งเตือนเมื่อ process ของ IDE เขียนไฟล์ ~/.ssh/authorized_keys และการปิด auto-update ของส่วนขยายในเครื่องที่แตะ production

บทเรียนสุดท้ายคือความโชคดีไม่ใช่การป้องกัน รอบนี้บั๊กของคนร้ายช่วยลดความเสียหายไว้ได้มาก แต่ถ้าคนร้ายแก้บั๊กเพียงบรรทัดเดียว ผลลัพธ์อาจต่างออกไปโดยสิ้นเชิง

แหล่งข่าว

• Cursor — Security notice: malicious version of Anthropic.claude-code
• Phorion — Official Claude Code Extension Compromise: Security Advisory
• Hacker News — คำชี้แจงจาก Dworken ของ Anthropic เรื่อง 2.1.313