En sårbarhet i Popcorn Time i den övergivna förgreningen Time4Popcorn gjorde miljontals datorer potentiellt sårbara för fjärrkörning av kod. Säkerhetsforskare ingrep genom att ta kontroll över dess utgångna uppdateringsdomän och inaktivera de sårbara uppdateringskomponenterna.
Säkerhetsbristen, som registrerats som CVE-2026-30612, påverkade programmets uppdateringsmekanismer för Windows och macOS. Dessa komponenter laddade ner körbara filer via okrypterad HTTP utan att kontrollera deras digitala signaturer.
Därmed kunde en angripare med kontroll över uppdateringsdomänen distribuera skadlig programvara med omfattande systembehörigheter.
Sårbarheten i Popcorn Time orsakades av en osäker uppdateringsfunktion
Time4Popcorn uppstod som en förgrening av Popcorn Time, en streamingapplikation som kombinerade ett gränssnitt för att bläddra bland filmer med nedladdningar via BitTorrent.
Trots att utvecklarna övergav förgreningen fortsatte installerade kopior att kontakta dess tidigare uppdateringsdomän i bakgrunden.
Uppdateringsfunktionen litade på körbara filer från denna adress utan att verifiera deras äkthet. Därför kunde någon som tog kontroll över domänen potentiellt köra kod med SYSTEM-behörighet i Windows eller root-behörighet i macOS.
Dessa behörigheter skulle ge skadlig programvara omfattande åtkomst till drabbade datorer.
Forskare upptäckte miljontals klientanslutningar
Eye Security upptäckte säkerhetsrisken efter att ha registrerat den övergivna uppdateringsdomänen. Därefter observerade forskarna upp till tre miljoner klientanslutningar från Windows och 350 000 klientanslutningar från macOS.
Trafiken kom från privata internetleverantörer samt företagsnätverk, myndighetsnätverk och militära nätverk.
Forskarna hittade dock inga tydliga tecken på att användarna aktivt använde programmet. I stället tydde anslutningarna på att bortglömda installationer fortsatte att köra sina uppdateringskomponenter.
Teamet registrerade därefter ytterligare 14 domäner kopplade till tjänsten för att säkra fler delar av dess övergivna infrastruktur.
Säkerhetsåtgärder inaktiverade den sårbara uppdateringstjänsten
Mellan november 2025 och mars 2026 använde Eye Security den osäkra uppdateringsmekanismen för att distribuera kod som stoppade och inaktiverade uppdateringsfunktionen.
Enligt forskarna samlade åtgärden inte in någon information om värddatorerna eller telemetridata. Den raderade inte heller några filer från användarnas datorer.
Under testerna flaggade antivirusprogram koden eftersom den inaktiverade en tjänst. Teamet ändrade därför koden innan distributionen slutfördes.
Eye Security registrerade omkring två miljoner nedladdningar av säkerhetsåtgärden. Samtidigt minskade förfrågningarna till uppdateringsdomänen med 98 procent fram till den 1 mars 2026.
Efter insatsen överförde forskarna ägandet av domänerna till den ideella organisationen Shadowserver Foundation.
Android-installationer och den föråldrade webbläsarmotorn är fortfarande risker
Trots den kraftiga minskningen av uppdateringstrafiken löste insatsen inte alla säkerhetsproblem.
Android-installationer är fortfarande ett problem eftersom en uppdatering kräver att användaren själv agerar. Forskarna kunde därför inte fjärrinaktivera mobilversionens uppdateringsfunktion genom samma process.
Dessutom använder Time4Popcorn en föråldrad Chrome-motor från 2014 och saknar sandlådeskydd. Det innebär att en separat potentiell angreppsyta finns kvar även efter att uppdateringsfunktionen på datorer har inaktiverats.
Forskarna rekommenderar att användare avinstallerar Time4Popcorn helt. Att inaktivera uppdateringstjänsten åtgärdar en allvarlig säkerhetsbrist, men det gör inte den övergivna applikationen säker.
0 svar till ”Säkerhetsbrist i Popcorn Time utsatte miljontals datorer för risk”