Penyusupan pada ekstensi resmi Claude Code milik Anthropic di pasar ekstensi Cursor dipicu oleh pencurian kunci akses yang terekspos akibat insiden peretasan terhadap Fireworks AI.
"Pelaku peretasan memperoleh kunci akses yang sebelumnya kami terbitkan untuk Fireworks," jelas pihak Cursor melalui pembaruan resmi pada Jumat. "Kunci tersebut dibocorkan pihak Fireworks, lalu peretas menggunakannya guna menyalin data dari bucket penyimpanan khusus baca yang kami pakai untuk berbagi berkas dengan mereka."
Keterangan resmi ini dipublikasikan hampir dua pekan setelah varian berbahaya dari ekstensi resmi Claude Code buatan Anthropic tersebar lewat Cursor Marketplace seolah-olah pembaruan yang sah, dengan upaya menyusupkan backdoor SSH persisten ke sistem perangkat korban.
Berdasarkan keterangan platform coding berbasis kecerdasan buatan (AI) ini, bucket penyimpanan baca-saja itu dilaporkan memuat rekam jejak terbatas agen koding dari sesi-sesi kerja yang tidak menyalakan Privacy Mode. Fitur Privacy Mode ini adalah pengaturan khusus pada sistem Cursor yang mengizinkan para pemakai agar data aktivitas mereka tidak dipakai sebagai bahan pelatihan model kecerdasan buatan.
Sesi-sesi tersebut, yang sebagian besar tercatat berasal dari kurun waktu 2025, memang diizinkan dipakai demi melatih model pembelajaran mesin. Di dalam jejak data itu terselip kredensial yang luput disunting dan dibersihkan, sehingga berakibat pada bocornya kredensial antarmuka pemrograman aplikasi (API) milik kurang dari 0,01% basis pelanggan mereka.
Pihak Cursor menambahkan, pelaku kejahatan siber memanfaatkan kredensial curian itu sebagai titik masuk awal guna menyusup ke sejumlah sarana software-as-a-service (SaaS) yang dipakai oleh Cursor, sebelum akhirnya mengambil data berikut –
Cursor menyatakan telah mengambil langkah antisipasi cepat dengan menonaktifkan kunci mitra tersebut, mencabut sekaligus memperbarui kredensial, serta melacak indikasi akses lebih jauh guna membendung serangan setelah "kami mendeteksi adanya akses lanjutan." Perusahaan pengembang juga mematikan sementara layanan internal dan fitur produk, yang sempat mengganggu penggunaan beberapa fungsionalitas aplikasi Cursor.
Gelombang serangan selanjutnya berlangsung pada 29 Oktober 2026, ketika sang penyusup memanfaatkan kredensial curian dari berkas internal yang bocor demi menaruh varian trojan dari ekstensi Claude Code kepunyaan Anthropic langsung ke dalam penyimpanan cache penyedia Cursor Marketplace.
"Sebanyak-banyaknya 5.000 pengguna yang mengunduh berkas cache ekstensi khusus tersebut pada 29 Oktober berpotensi menerima paket berbahaya ini," ungkap perwakilan Cursor. "Paket itu sempat tersedia kira-kira 11 jam sebelum kami singkirkan. Kami langsung mencabutnya, menonaktifkan portal pasar ekstensi, dan berkoordinasi bersama penyedia layanan cloud yang menampung server pelaku demi menurunkannya."
Pengembang platform menegaskan telah mengirim pemberitahuan kepada pelanggan terdampak yang mengunduh versi 2.1.312 atau 2.1.313 dari direktori selama masa rentan terjadi serta membantu pembatalan kredensial yang telanjur terekspos. Pihak Cursor juga memindahkan seluruh beban lalu lintas inferensi keluar dari Fireworks, mematikan kunci akses yang diberikan kepadanya, serta memutus total akses mitra ke seluruh himpunan data yang dibagi.
Lebih lanjut, Cursor menegaskan sama sekali tidak menemukan indikasi aktivitas mencurigakan tambahan sejak 1 November 2026.
Tidak ditemukan indikasi bahwa peristiwa keamanan ini berdampak pada akun pengguna yang telah mengaktifkan Privacy Mode, repositori kode para pelanggan, infrastruktur server produksi internal Cursor, aplikasi inti Cursor berikut pembaruan resminya, program pendukung lain, maupun ekstensi dan plugin lain yang didistribusikan lewat Cursor Marketplace.
Uber Turut Menjadi Korban Imbas Insiden Fireworks
Kabar ini mengemuka seiring pengakuan Uber bahwa pelaku peretasan tak dikenal telah mencuri ribuan data surat izin mengemudi (SIM) para pengemudinya sesudah mendapatkan kredensial internal.
"Pada 9 Oktober 2026, salah satu penyedia layanan mengabarkan Uber bahwa pihak ketiga tanpa izin membobol kredensial internal penyedia itu dan memakainya demi memasuki akun Uber di sistem rekanan," sebut Uber dalam laporan resmi di negara bagian California, AS. "Pada 13 Oktober 2026, penelusuran internal kami memastikan pelaku tanpa hak telah memakai kredensial bocor itu guna membuka data Uber yang terhubung pada vendor tersebut."
Kendati nama penyedia jasa tak diungkapkan langsung di dokumen itu, TechCrunch melaporkan mitra yang dimaksud adalah Fireworks AI. Uber sendiri belum merilis total pemakai yang terdampak kebocoran data. Pekan lalu, perusahaan produktivitas online Notion juga mengonfirmasi data perusahaannya ikut tercuri dalam aksi peretasan Fireworks AI.
