Cursor: recupere a estação e revise as credenciais
A resposta a uma extensão adulterada precisa alcançar a estação e os acessos que ela poderia usar. Defina como registrar a investigação, revogar credenciais e autorizar o retorno do desenvolvimento.
Read in EnglishPor Pentesty
O que a investigação do fornecedor confirma
No informe de 13 de novembro, a Cursor atribui a sequência a uma chave exposta pela Fireworks: dados históricos continham credenciais, usadas para alcançar ferramentas SaaS e, depois, adulterar o cache de extensões. O episódio envolve versões 2.1.312 e 2.1.313 de Anthropic.claude-code em 29 de outubro. A empresa afirma que seus aplicativos, atualizações oficiais e repositórios dos clientes não foram afetados. São conclusões do fornecedor; a equipe precisa verificar o próprio ambiente.
Monte uma fila de estações para investigar
Escolha um responsável por reunir os registros de instalação, a identidade do usuário e o período examinado. Preserve a origem de cada informação e diferencie uma versão presente hoje de uma instalação registrada no intervalo investigado. A ausência de um pacote no inventário atual deixa uma pergunta histórica em aberto. Consulte as comunicações oficiais destinadas à organização para delimitar a revisão.
Para cada estação selecionada, abra um registro que acompanhe a coleta autorizada, os indícios encontrados e as limitações da telemetria. Combine com o gestor como o desenvolvedor trabalhará enquanto a análise ocorre. Uma alternativa administrada e previamente preparada pode reduzir a pressão por liberar rapidamente uma máquina cuja situação ainda está indefinida. Documente quem recebe os casos sem evidência suficiente.
Trate a recuperação como uma decisão da estação
O aviso de 29 de outubro, atualizado no dia 30, orienta buscar os indicadores publicados, isolar máquinas com evidências, remover persistência e avaliar reconstrução. Também recomenda trocar credenciais e sessões acessíveis a partir de um sistema confiável. A Cursor alerta que somente desinstalar a extensão pode ser insuficiente.
Transforme essas orientações em um procedimento aprovado para a organização. Antes de remover artefatos, defina a preservação necessária à investigação e quem autoriza a intervenção. Registre a execução, as verificações posteriores e as pendências entregues ao responsável pela estação. Use os indicadores e instruções atuais do aviso oficial; uma lista copiada para um chamado pode perder contexto ou ficar desatualizada.
Dê um destino a cada credencial revisada
Em um exercício separado, utilize uma conta sintética para representar o acesso de uma ferramenta de desenvolvimento a um serviço interno. Identifique o emissor, o proprietário da aplicação e o administrador capaz de revogar o acesso. Anote identificadores permitidos e horários, sem incluir valores secretos nos relatórios. Esse ensaio avalia o procedimento da equipe e não reproduz o ataque descrito pelo fornecedor.
Revogue a credencial de teste no emissor e observe uma tentativa autorizada que antes era aceita. Depois, valide a substituição com o menor acesso aprovado pelo proprietário. Guarde ambos os resultados e investigue integrações que continuem operando sem explicação. Para credenciais reais sob investigação, combine preservação, dependências e urgência com a resposta ao incidente, evitando interromper serviços por uma mudança sem responsável.
Perguntas frequentes
Uma versão ausente hoje encerra a investigação?
O inventário atual precisa ser comparado com registros históricos do período selecionado. Documente o que cada fonte permite concluir e encaminhe a falta de telemetria como limitação explícita.
Quem autoriza o retorno do desenvolvedor?
Defina a responsabilidade antes da intervenção. A equipe técnica apresenta os resultados da estação e dos acessos; o gestor aceita o retorno com condições e pendências identificadas.
Como testar revogação sem expor segredos reais?
Use uma conta sintética e uma integração autorizada em ambiente de teste. Registre a tentativa rejeitada após a revogação e o funcionamento da substituição, mantendo valores secretos fora do relatório.
O exercício confirma a extensão do incidente?
Ele mostra o comportamento observado no escopo autorizado. A extensão do incidente exige investigação própria e comunicações do fornecedor; registre separadamente os pontos que ainda dependem dessas informações.
Fontes e referências
- Cursor: investigação publicada em 13 de novembro
- Cursor: aviso de 29 de outubro, atualizado em 30 de outubro
Análise original da Pentesty, publicada em 14 de novembro de 2026. Os cenários propostos são orientações editoriais, com escopo e validação a definir para cada ambiente.