En sårbarhed i Popcorn Time i den forladte Time4Popcorn-forgrening gjorde potentielt millioner af computere sårbare over for fjernudførelse af kode. Sikkerhedsforskere greb ind ved at overtage kontrollen med det udløbne opdateringsdomæne og deaktivere de sårbare opdateringskomponenter.
Sikkerhedsfejlen, der er registreret som CVE-2026-30612, påvirkede programmets opdateringsmekanismer til Windows og macOS. Disse komponenter downloadede eksekverbare filer via ukrypteret HTTP uden at kontrollere deres digitale signaturer.
Dermed kunne en angriber med kontrol over opdateringsdomænet distribuere skadelig software med omfattende systemrettigheder.
Sårbarheden i Popcorn Time skyldtes en usikker opdateringsfunktion
Time4Popcorn opstod som en forgrening af Popcorn Time, en streamingapplikation, der kombinerede en brugerflade til at gennemse film med downloads via BitTorrent.
Selvom udviklerne forlod denne forgrening, fortsatte installerede kopier med at kontakte det tidligere opdateringsdomæne i baggrunden.
Opdateringsfunktionen stolede på eksekverbare filer fra denne adresse uden at verificere deres ægthed. Derfor kunne en person, der overtog domænet, potentielt køre kode med SYSTEM-rettigheder i Windows eller root-rettigheder i macOS.
Disse rettigheder ville give skadelig software omfattende adgang til berørte computere.
Forskere opdagede millioner af klientforbindelser
Eye Security opdagede sikkerhedsrisikoen efter at have registreret det forladte opdateringsdomæne. Forskerne observerede efterfølgende op til tre millioner klientforbindelser fra Windows og 350.000 klientforbindelser fra macOS.
Trafikken kom fra private internetudbydere samt virksomhedsnetværk, offentlige netværk og militære netværk.
Forskerne fandt dog ingen tydelige tegn på, at folk aktivt brugte applikationen. I stedet tydede forbindelserne på, at glemte installationer fortsatte med at køre deres opdateringskomponenter.
Holdet registrerede derefter yderligere 14 domæner knyttet til tjenesten for at sikre flere dele af dens forladte infrastruktur.
Sikkerhedstiltag deaktiverede den sårbare opdateringstjeneste
Mellem november 2025 og marts 2026 brugte Eye Security den usikre opdateringsmekanisme til at distribuere kode, der stoppede og deaktiverede opdateringsfunktionen.
Ifølge forskerne indsamlede sikkerhedstiltaget ingen oplysninger om værtscomputerne eller telemetridata. Det slettede heller ingen filer fra brugernes computere.
Under testene markerede antivirusprogrammer koden som mistænkelig, fordi den deaktiverede en tjeneste. Holdet ændrede derfor koden, inden udrulningen blev afsluttet.
Eye Security registrerede omkring to millioner downloads af sikkerhedstiltaget. Samtidig faldt antallet af forespørgsler til opdateringsdomænet med 98 procent frem til den 1. marts 2026.
Efter operationen overførte forskerne ejerskabet af domænerne til nonprofitorganisationen Shadowserver Foundation.
Android-installationer og den forældede browsermotor er fortsat bekymringer
På trods af den betydelige reduktion i opdateringstrafikken løste indsatsen ikke alle sikkerhedsproblemerne.
Android-installationer er fortsat en bekymring, fordi en opdatering kræver, at brugeren selv foretager en handling. Forskerne kunne derfor ikke fjerndeaktivere mobilversionens opdateringsfunktion gennem den samme proces.
Derudover bruger Time4Popcorn en forældet Chrome-motor fra 2014 og mangler sandbox-beskyttelse. Det efterlader en separat potentiel angrebsflade, selv efter at opdateringsfunktionen på computere er blevet deaktiveret.
Forskerne anbefaler at afinstallere Time4Popcorn fuldstændigt. Deaktivering af opdateringstjenesten afhjælper én alvorlig sikkerhedssvaghed, men gør ikke den forladte applikation sikker.
0 svar til “Sikkerhedssårbarhed i Popcorn Time udsatte millioner af computere for risiko”