Gehackte Claude Code-extensie: waarom de laptop van je developer ertoe doet

Op 29 oktober 2026 stond er een besmette versie van de Claude Code-extensie in de marketplace van Cursor, een populaire code-editor met AI. Wie de extensie die dag installeerde of automatisch liet updaten, kreeg er een achterdeur bij. Volgens Cursor gaat het om maximaal 5.000 gebruikers.

Dat klinkt als een probleem voor developers, niet voor webshops of websites. Maar de laptop van je developer heeft vaak sleutels tot je productieserver, je code en je database. Wie die laptop overneemt, staat een paar stappen van je webshop of website af. Hieronder wat er gebeurde en wat je je developer of bureau deze week moet vragen.

Wat er gebeurde

Claude Code is de AI-programmeerassistent van Anthropic. Veel developers gebruiken hem als extensie in hun editor. Cursor heeft een eigen marketplace voor zulke extensies, los van die van Microsoft.

In die marketplace verscheen versie 2.1.313 van de Claude Code-extensie. De naam klopte, de code werkte ook gewoon, maar er zat een extra stuk van 66 regels JavaScript in dat vóór de echte code draaide. Die versie was niet door Anthropic gemaakt. Ze stond online van ongeveer half elf ’s ochtends tot half tien ’s avonds Nederlandse tijd, daarna heeft Cursor haar verwijderd.

Een paar dingen zijn belangrijk om te weten:

• Alleen de Cursor-marketplace was getroffen. De extensie in de Microsoft VS Code Marketplace en op Open VSX was schoon. In de eerste berichten werd ook Open VSX als getroffen genoemd, dat bleek later niet te kloppen.
• Hoe de aanvaller in de marketplace kwam, is nog niet bekend. Cursor bevestigt dat de marketplace is gecompromitteerd, maar heeft nog niet uitgelegd hoe.
• Automatische updates waren genoeg. Je hoefde niets verkeerd te doen. Onderzoeker Jenn Gile van OpenSourceMalware zei tegen The Hacker News dat iedereen bij wie Claude Code automatisch updatet, de malware binnen kan hebben gekregen, ook al stond de versie er maar kort.
• De schone versie is 2.1.314. Anthropic heeft die uitgebracht op alle officiële kanalen.

Wat de besmette extensie deed

Zodra de editor opstartte, ging de extensie aan het werk. Zonder dat je iets hoefde aan te klikken:

1. Een SSH-sleutel van de aanvaller toevoegen aan ~/.ssh/authorized_keys, met het onschuldig klinkende label svc-telemetry. Daarmee mag die sleutel inloggen op de computer.
2. SSH aanzetten op de computer, op macOS, Windows en Linux.
3. Een tunnel naar buiten openen naar de server van de aanvaller. Zo kon die via SSH op de laptop komen, ook achter een router of bedrijfsfirewall.
4. Zichzelf vastzetten met een LaunchAgent op macOS, een crontab op Linux en een geplande taak op Windows, zodat het na een herstart terugkwam.
5. Gegevens doorsturen: hostnaam, gebruikersnaam, besturingssysteem, mappen, het e-mailadres uit de Git-instellingen, het publieke IP-adres en de namen van tot 40 omgevingsvariabelen met woorden als KEY, TOKEN, SECRET, PASS, AWS of GCP.

Die laatste stap stuurde de namen van de variabelen door, niet de waarden. Maar zoals onderzoeker Paul McCarty zegt: aan de namen zie je al welke clouddiensten en sleutels er op de machine staan. En wie via SSH binnen is, kan de waarden gewoon zelf lezen.

Er is wel een geruststelling. SSH aanzetten vraagt op de meeste Macs en Windows-pc’s beheerdersrechten, en die had de extensie meestal niet. Op die machines kon de aanvaller dus waarschijnlijk niet inloggen. De sleutel, de persistentie en het doorsturen van gegevens gebeurden wel. Cursor heeft samen met de hostingpartij de server van de aanvaller offline gehaald, en tot nu toe zijn er geen vervolgaanvallen gezien.

Waarom dit over je webshop of website gaat

Bij een lek denk je meestal aan je webshop zelf: een lek in Magento, een extensie, of zoals vorige week PHP2Shell in PHP. Deze aanval ging via een andere weg: de werkplek van de mensen die aan je webshop of website bouwen. Of dat nu Magento, WordPress, Shopware of iets anders is, maakt niet uit.

Kijk wat er op een gemiddelde developer-laptop staat:

• SSH-sleutels waarmee je developer op je staging- en productieserver inlogt.
• Toegang tot je code in GitHub, GitLab of Bitbucket, vaak met schrijfrechten.
• API-sleutels en tokens in omgevingsvariabelen of .env-bestanden: van je hosting, je betaalprovider, je ERP-koppeling of de cloud.
• Een lokale kopie van je shop, soms met een database-dump erbij. Met klant- en bestelgegevens, als niemand die heeft geanonimiseerd.
• Configuratiebestanden met databasegegevens, zoals app/etc/env.php in Magento (met de sleutel waarmee Magento gevoelige data versleutelt) of wp-config.php in WordPress.

Een aanvaller met SSH-toegang tot zo’n laptop hoeft je server niet meer te hacken. Die logt gewoon in met de sleutel van je developer. Of zet een skimmer in je checkout-code en laat je eigen deploy het naar productie brengen.

Dit heet een supply chain-aanval: niet het doelwit aanvallen, maar iets waar het doelwit op vertrouwt. Developer-tools zijn daar een aantrekkelijk doel voor, omdat ze draaien op machines met veel rechten. En AI-tools staan op dit moment op bijna elke developer-laptop. Een week eerder ging het nog mis bij de officiële command-line tool van OVHcloud, waar een aanvaller de downloads verving door malware die geheimen steelt.

Wat je deze week moet vragen

Je hoeft dit niet zelf uit te zoeken. Wel moet je weten of iemand die toegang heeft tot je webshop of website het heeft nagelopen. Stel je developer, freelancer of bureau deze vragen.

Gebruikt iemand Cursor met de Claude Code-extensie? Dan is de vraag of die op 29 oktober versie 2.1.313 heeft binnengekregen. Snelle check: staat er een regel met svc-telemetry in ~/.ssh/authorized_keys? Cursor heeft een eigen controle en opruimscripts voor macOS en Windows gepubliceerd. Gebruikt niemand Cursor, of alleen VS Code met de Microsoft-marketplace, dan is er voor dit incident niets aan de hand.

Was het raak? Dan is opruimen niet genoeg. Haal de machine van het netwerk, verwijder de sleutel en de persistentie, en vervang daarna vanaf een schone machine alles waar die laptop bij kon: SSH-sleutels naar je servers, Git-tokens, API-sleutels, wachtwoorden van de Magento-admin en van je hostingpanel. Laat ook de inloglogs van je servers en je repository nakijken op toegang die niet te verklaren is. Opnieuw installeren is de veiligste route.

Heeft je developer eigen, intrekbare toegang? Eén gedeelde SSH-sleutel of één admin-account voor het hele team betekent dat je bij een incident niet weet wie er toegang had, en dat je alles tegelijk moet vervangen. Per persoon een eigen sleutel en een eigen account maakt intrekken simpel.

Staan er klantgegevens op laptops? Een database-dump met echte klantdata hoort niet op een werkplek. Voor ontwikkelen is een geanonimiseerde kopie genoeg. Als die laptop gecompromitteerd raakt, is het anders ook een datalek onder de AVG.

Wie heeft er nog toegang? Oude freelancers, een vorig bureau, een stagiair van vorig jaar. Elke sleutel die nog op je server staat, is een deur die open kan. Dit is het moment om de lijst langs te lopen.

Wat je hiervan meeneemt

De AI-tool zelf was niet het probleem. Claude Code van Anthropic was schoon, net als de versies in de andere marketplaces. Het ging mis in de distributie: een plek waar developers op vertrouwen, werd gebruikt om iets anders af te leveren.

Dat gaat vaker gebeuren, met welke tool dan ook. De beste verdediging zit niet in de vraag of je developer wel of geen AI gebruikt, maar in hoe toegang tot je webshop is geregeld. Per persoon, zo weinig mogelijk, intrekbaar en bekend. Dan is een gehackte laptop een vervelende middag in plaats van een gehackte webshop.

En bij Linted?

Wij werken in PhpStorm, niet in Cursor. Deze besmette extensie is bij ons dus niet binnengekomen. Dat is vooral geluk met de keuze van editor.

Wat wel een bewuste keuze is: we installeren zo min mogelijk externe plugins in PhpStorm. Elke plugin is code van iemand anders die meedraait op een machine met toegang tot klantprojecten. Wat er niet op staat, kan ook niet besmet raken.

Waterdicht is dat niet. De volgende keer kan het net zo goed een PhpStorm-plugin zijn, of de editor zelf. Daarom vinden we het verhaal over toegang belangrijker dan de vraag welke editor iemand gebruikt.

Wil je weten hoe de toegang tot jouw webshop geregeld is, of wie er nog sleutels heeft? Bij Magento-onderhoud hoort dat soort huishouden er gewoon bij. Of neem contact op, dan kijken we mee.