Sicherheitslücke in Popcorn Time gefährdete Millionen von Computern

Eine Schwachstelle in Popcorn Time in der aufgegebenen Time4Popcorn-Abspaltung setzte potenziell Millionen von Computern dem Risiko der Remote-Code-Ausführung aus. Sicherheitsforscher griffen ein, indem sie die Kontrolle über die abgelaufene Update-Domain übernahmen und die anfälligen Update-Komponenten deaktivierten.

Die als CVE-2026-30612 erfasste Sicherheitslücke betraf die Update-Mechanismen der Anwendung für Windows und macOS. Diese Komponenten luden ausführbare Dateien über unverschlüsseltes HTTP herunter, ohne deren digitale Signaturen zu überprüfen.

Dadurch konnte ein Angreifer mit Kontrolle über die Update-Domain Schadsoftware mit weitreichenden Systemberechtigungen verbreiten.

Schwachstelle in Popcorn Time entstand durch eine unsichere Update-Funktion

Time4Popcorn entstand als Abspaltung von Popcorn Time, einer Streaming-Anwendung, die eine Benutzeroberfläche zum Durchsuchen von Filmen mit Downloads über BitTorrent kombinierte.

Obwohl die Entwickler die Abspaltung aufgaben, kontaktierten installierte Versionen weiterhin im Hintergrund die frühere Update-Domain.

Die Update-Funktion vertraute ausführbaren Dateien von dieser Adresse, ohne deren Echtheit zu überprüfen. Folglich konnte jemand, der die Domain übernahm, potenziell Code mit SYSTEM-Berechtigungen unter Windows oder Root-Rechten unter macOS ausführen.

Diese Berechtigungen würden Schadsoftware weitreichenden Zugriff auf betroffene Computer ermöglichen.

Forscher entdeckten Millionen von Client-Verbindungen

Eye Security entdeckte das Sicherheitsrisiko, nachdem das Unternehmen die aufgegebene Update-Domain registriert hatte. Anschließend beobachteten die Forscher bis zu drei Millionen Client-Verbindungen von Windows-Systemen und 350.000 Client-Verbindungen von macOS-Systemen.

Der Datenverkehr stammte sowohl von privaten Internetanschlüssen als auch aus Unternehmens-, Regierungs- und Militärnetzwerken.

Allerdings fanden die Forscher keine offensichtlichen Hinweise darauf, dass die Nutzer die Anwendung aktiv verwendeten. Stattdessen deuteten die Verbindungen darauf hin, dass vergessene Installationen ihre Update-Komponenten weiterhin ausführten.

Das Team registrierte daraufhin weitere 14 Domains, die mit dem Dienst verbunden waren, um zusätzliche Teile der aufgegebenen Infrastruktur abzusichern.

Sicherheitsmaßnahmen deaktivierten den anfälligen Update-Dienst

Zwischen November 2025 und März 2026 nutzte Eye Security den unsicheren Update-Mechanismus, um Code zu verteilen, der die Update-Funktion stoppte und deaktivierte.

Nach Angaben der Forscher sammelte die Sicherheitsmaßnahme weder Informationen über die betroffenen Rechner noch Telemetriedaten. Außerdem löschte sie keine Dateien von den Computern der Nutzer.

Während der Tests stuften Antivirenprogramme den Code als verdächtig ein, weil er einen Dienst deaktivierte. Das Team passte den Code daher an, bevor es die Verteilung abschloss.

Eye Security verzeichnete rund zwei Millionen Downloads der Sicherheitsmaßnahme. Gleichzeitig gingen die Anfragen an die Update-Domain bis zum 1. März 2026 um 98 Prozent zurück.

Nach Abschluss der Aktion übertrugen die Forscher das Eigentum an den Domains an die gemeinnützige Shadowserver Foundation.

Android-Installationen und veraltete Browser-Engine bleiben Sicherheitsrisiken

Trotz des erheblichen Rückgangs des Update-Datenverkehrs konnte die Maßnahme nicht alle Sicherheitsprobleme beheben.

Android-Installationen bleiben ein Problem, da die Durchführung eines Updates eine Aktion des Nutzers erfordert. Die Forscher konnten die Update-Funktion der mobilen Version daher nicht über denselben Prozess aus der Ferne deaktivieren.

Darüber hinaus verwendet Time4Popcorn eine veraltete Chrome-Engine aus dem Jahr 2014 und verfügt über keinen Sandbox-Schutz. Dadurch bleibt eine separate potenzielle Angriffsfläche bestehen, selbst nachdem die Update-Funktion auf Desktop-Systemen deaktiviert wurde.

Die Forscher empfehlen, Time4Popcorn vollständig zu deinstallieren. Die Deaktivierung des Update-Dienstes behebt zwar eine schwerwiegende Sicherheitslücke, macht die aufgegebene Anwendung jedoch nicht sicher.