A Cursor divulgou a 13 de novembro um relato mais completo do incidente de segurança que tinha anunciado no final de outubro. Segundo a Cursor Team, a intrusão começou com uma chave de acesso que a empresa tinha emitido para a Fireworks. Essa chave, escreve a Cursor, foi exposta pela própria Fireworks e serviu depois para copiar dados de um repositório de armazenamento apenas de leitura que a Cursor usava para partilhar material com a fornecedora. O texto é, até agora, a descrição pública mais detalhada da forma como uma cópia maliciosa da extensão Claude Code da Anthropic chegou ao marketplace de VS Code da Cursor, e do conjunto de dados de clientes que a empresa acredita ter sido envolvido.
A Cursor afirma que o repositório continha um conjunto limitado de traços de sessões de agentes de programação, na maior parte de 2025, provenientes de sessões que não estavam em Privacy Mode e que a empresa tinha autorização para usar no treino de modelos. Uma fração desses traços, diz a empresa, ainda tinha credenciais que não tinham sido redigidas, e menos de 0,01 por cento dos clientes teriam visto credenciais de API expostas desta forma. A partir dessas credenciais, a Cursor diz que o atacante acedeu a ferramentas SaaS selecionadas no interior da empresa e, a partir daí, obteve repositórios de código-fonte não produtivos já arquivados (alguns com contactos comerciais), dados limitados de apoio ao cliente e conversas por correio eletrónico, métricas de utilização e contactos, resumos de algumas conversas com o agente de programação, e credenciais que utilizadores tinham enviado à equipa de apoio.
A empresa afirma que os sistemas de monitorização detetaram a atividade não autorizada. Em seguida, desativou a chave da fornecedora, abriu um processo de resposta ao incidente e começou a rodar credenciais e a procurar outros acessos. Por precaução, diz ter desligado temporariamente serviços internos e de produto para além do que a evidência exigia, o que interrompeu de forma breve algumas funções da Cursor, e ter restabelecido cada serviço quando considerou seguro fazê-lo. No texto de 13 de novembro, a Cursor declara que a última atividade do atacante que observou ocorreu a 1 de novembro e foi bloqueada.
A face mais visível do caso já era conhecida. A 29 de outubro, a Cursor publicou um aviso de segurança a informar que, entre cerca das 2h27 e as 13h35, hora do Pacífico, versões adulteradas do pacote Anthropic.claude-code 2.1.312 e 2.1.313 estiveram disponíveis no marketplace de extensões da Cursor e tentaram instalar uma backdoor SSH persistente. A atualização de 13 de novembro acrescenta que o atacante usou uma credencial roubada nos dados internos expostos para colocar essas cópias não autorizadas diretamente na cache que servia o marketplace. A Cursor afirma que a Anthropic não publicou essa cópia, que o problema não era uma vulnerabilidade do produto da Anthropic, e que o Open VSX, a fonte a montante do marketplace, nunca transportou o código malicioso. Estima que, no máximo, 5.000 utilizadores que pediram versões concretas em cache a 29 de outubro possam ter recebido a compilação adulterada, disponível durante cerca de 11 horas até a Cursor a retirar e encerrar o marketplace. A equipa de segurança da Microsoft, num texto de 30 de outubro, descreveu de forma independente a mesma janela temporal e o comportamento da backdoor SSH, e afirmou que os pacotes maliciosos não foram publicados no Microsoft Visual Studio Marketplace nem no npm. A Microsoft escreveu ainda que a Anthropic confirmou que os seus próprios sistemas não tinham sido comprometidos.
A Cursor diz que a grande maioria dos clientes não foi afetada e que contactou cada cliente envolvido com as informações que lhe dizem respeito. No texto de 13 de novembro declara que pedidos e código de quem usa Privacy Mode não foram expostos; que os traços do agente de programação foram expostos para menos de 0,05 por cento dos utilizadores que não usavam Privacy Mode, todos notificados; e que o tráfego em direto, os sistemas de produção, as atualizações oficiais da aplicação, as chaves de assinatura de versões, as restantes extensões do marketplace, os Cloud Agents, o Grok Bot e outros produtos SpaceX SI não estiveram envolvidos. A empresa afirma também ter retirado todo o tráfego de inferência da Fireworks, ter rodado as credenciais expostas e, por precaução, outras credenciais internas, ter reconstruído o marketplace, alargado a deteção de segredos, reimplantado a infraestrutura de produção e contratado peritos forenses externos.
O relato da Cursor aponta o ponto de partida para uma chave «exposta pela Fireworks». A Fireworks já tinha anunciado uma intrusão em outubro de 2026 que chegou aos seus sistemas de desenvolvimento e expôs alguns dados de faturação e conjuntos de dados de clientes; a Notion disse mais tarde que transcrições de conversas do Insights estavam entre o material afetado. Essas divulgações anteriores não descreviam o alcance dos dados da Cursor nem o malware no marketplace, e o texto de 13 de novembro da Cursor não identifica de forma explícita a exposição da sua chave como o mesmo incidente da Fireworks. As percentagens de impacto, a lista de sistemas atingidos e a afirmação de que o incidente está contido continuam a ser conclusões da própria Cursor. Quem instalou ou atualizou para as compilação adulteradas do Claude Code na janela de 29 de outubro continua a ser aconselhado a seguir os passos de remediação do aviso original, que alertava que desinstalar a extensão pode não chegar, porque a carga útil podia deixar artefactos de persistência autónomos.