Cursor Veri İhlali: Fireworks AI Anahtarı Neden Oldu

Cursor Veri İhlali: Fireworks AI Anahtarı Neden Oldu

Cursor veri ihlali, Anthropic’in Claude Code uzantısının tehlikeye girmesiyle sonuçlandı. Bu durum, Fireworks AI’yi hedef alan bir saldırı sonrası açığa çıkan bir erişim anahtarının çalınmasından kaynaklandı. Saldırganlar bu anahtarı kullanarak Cursor’ın depolama alanından veri kopyaladı.

Yapay zeka destekli kodlama platformu Cursor, bir blog güncellemesinde saldırganın Fireworks’e verilen bir erişim anahtarını ele geçirdiğini belirtti. Fireworks tarafından ifşa edilen bu anahtar, saldırganın Cursor’ın Fireworks ile veri paylaşmak için kullandığı salt okunur bir depolama alanından veri kopyalamasına olanak tanıdı. Cursor, bu bilgiyi 2026 Kasım ayında duyurdu.

İhlalin Detayları ve Etkilenen Veriler

Bu depolama alanı, Gizlilik Modu’nda olmayan oturumlardan sınırlı kodlama aracı izlerini içeriyordu. Çoğu 2025 yılına ait bu oturumlar, model eğitimi için kullanılmasına izin verilmişti. Ayrıca, düzenlenmemiş kimlik bilgileri de bu izler arasındaydı. Dolayısıyla, müşterilerin %0.01’inden azının API kimlik bilgileri açığa çıktı.

Saldırgan, ele geçirdiği bu kimlik bilgilerini başlangıç noktası olarak kullandı. Ardından, Cursor tarafından kullanılan belirli yazılım hizmetlerine (SaaS) erişim sağladı. Bu erişimle birlikte çeşitli hassas verilere ulaştı:

• İş iletişim bilgilerini içeren bazı arşivlenmiş üretim dışı Cursor kaynak kodu depoları.
• Sınırlı müşteri destek verileri ve e-posta yazışmaları.
• Ürün kullanım metrikleri ve iletişim bilgileri.
• Bazı kodlama aracı konuşmalarının özetleri.
• Kullanıcıların Cursor destek ekibine gönderdiği bazı kimlik bilgileri.

Cursor, durumu tespit ettikten sonra satıcının anahtarını devre dışı bıraktı. Ayrıca, kimlik bilgilerini iptal edip değiştirdi ve daha derin erişim belirtileri aradı. Şirket, saldırıyı kontrol altına almak için dahili ve ürün hizmetlerini geçici olarak devre dışı bıraktı. Bu durum, bazı Cursor özelliklerine erişimi engelledi.

Trojanlı Uzantı Dağıtımı ve Uber Bağlantısı

Saldırının bir sonraki aşaması 29 Ekim 2026’da gerçekleşti. Saldırgan, dahili sisteminden ele geçirdiği kimlik bilgilerini kullanarak Anthropic’in Claude Code uzantısının trojanlı sürümlerini doğrudan Cursor’ın uzantı pazarını sunan önbelleğe yerleştirdi. Bu kötü amaçlı yazılım, etkilenen sistemlere kalıcı bir SSH arka kapısı kurmaya çalıştı.

Cursor, 29 Ekim’de uzantının belirli önbelleğe alınmış sürümlerini talep eden en fazla 5.000 kullanıcının kötü amaçlı yapıyı potansiyel olarak aldığını bildirdi. Bu sürüm yaklaşık 11 saat boyunca erişilebilir kaldı. Şirket, uzantıyı kaldırdı ve uzantı pazarını çevrimdışı hale getirdi. Ayrıca, saldırganın sunucusunu barındıran bulut hizmet sağlayıcısıyla iş birliği yaparak onu da kapattı.

Şirket, etkilenen kullanıcılara bildirimde bulundu. Bu kullanıcılar, maruz kalma süresi boyunca 2.1.312 veya 2.1.313 sürümlerini kurmuştu. Cursor, açığa çıkan kimlik bilgilerini iptal etmelerine yardımcı oldu. Ayrıca, tüm çıkarım trafiğini Fireworks’ten taşıdı, verilen anahtarı devre dışı bıraktı ve paylaşılan tüm veri setlerine erişimini kesti. 1 Kasım 2026’dan bu yana ek kötü amaçlı etkinlik tespit edilmedi.

Gizlilik Modu’nu etkinleştiren kullanıcıların, müşteri kod depolarının veya Cursor’ın üretim ortamının etkilenmediğine dair kanıt bulunmuyor. Benzer şekilde, Cursor uygulamasının resmi güncellemeleri veya diğer uzantılar da etkilenmedi.

Fireworks AI Olayının Diğer Kurbanları

Bu gelişmeler yaşanırken, Uber de bilinmeyen tehdit aktörlerinin dahili kimlik bilgilerini ele geçirdikten sonra binlerce sürücünün ehliyet bilgilerini çaldığını doğruladı. Uber, 9 Ekim 2026’da bir hizmet sağlayıcının, yetkisiz bir üçüncü tarafın hizmet sağlayıcının dahili kimlik bilgilerini ele geçirdiğini bildirdiğini belirtti. Bu kimlik bilgileri, Uber’in hizmet sağlayıcıdaki hesabına erişmek için kullanıldı. 13 Ekim 2026’da yapılan incelemede, yetkisiz tarafın ele geçirilmiş kimlik bilgilerini kullanarak Uber verilerine eriştiği belirlendi.

Hizmet sağlayıcının adı açıklanmasa da, TechCrunch, söz konusu sağlayıcının Fireworks AI olduğunu bildirdi. Uber, ihlalden kaç kullanıcının etkilendiğini açıklamadı. Geçen hafta, çevrimiçi üretkenlik girişimi Notion da verilerinin Fireworks AI saldırısında çalındığını doğruladı.