Sicherheitslücke in Popcorn Time löste 2 Millionen deaktivierende Updates aus
Die als CVE-2026-30612 erfasste Sicherheitslücke in Popcorn Time führte dazu, dass Millionen von Computern Software installieren konnten, die über aufgegebene Update-Domains bereitgestellt wurde. Zwischen November 2025 und März 2026 übermittelte das niederländische Sicherheitsunternehmen Eye Security mehr als 2 Millionen Update-Downloads an betroffene Rechner. Dabei nutzte es den anfälligen Mechanismus, um den updater zu stoppen und zu deaktivieren, anstatt einen herkömmlichen Patch zu installieren.
Der updater war Bestandteil von Time4Popcorn, einer aufgegebenen Kopie von Popcorn Time, einer Anwendung, die raubkopierte Filme und Fernsehsendungen über BitTorrent, ein Peer-to-Peer-System zur Dateifreigabe, streamte. Das ursprüngliche Popcorn Time wurde 2014 eingestellt, doch mehrere Kopien wurden unter diesem Namen weiterbetrieben. Ein separates legales Projekt, das den Namen Anfang 2025 übernahm, steht damit nicht in Verbindung.
Eye Security stieß bei routinemäßigem Threat Hunting im Netzwerk eines Kunden auf das Problem. Ein Programm namens Updater.exe kontaktierte wiederholt eine Webadresse, die nicht mehr registriert war. Das Unternehmen registrierte die Adresse, um den Datenverkehr zu beobachten, und erhielt daraufhin etwa 50 Anfragen pro Sekunde. Später bezeichnete es die Arbeit als Operation IXIM und beschrieb sie in einem schriftlichen Bericht sowie am 22. Oktober auf der Hack.lu.
Während der sechsmonatigen Beobachtung enthielten die Anfragen mehr als 3,8 Millionen unterschiedliche Hardware-IDs, also Kennungen, die Geräte voneinander unterscheiden sollten. Eye Security stellte fest, dass diese kein zuverlässiger Maßstab waren, weil manche Windows-Computer dieselbe ID verwendeten, während einige Macs ihre ID änderten. Die korrigierte Schätzung des Unternehmens lag bei 2,5 bis 3 Millionen Windows-Computern und 250.000 bis 350.000 Macs.
Unter Windows und auf dem Mac startete der updater zusammen mit dem Computer und lief anschließend im Hintergrund weiter. Er forderte neue Software über eine unverschlüsselte Verbindung an, sodass der Datenverkehr nicht vor dem Abfangen geschützt war, und prüfte nicht, wer den Download bereitstellte. Alles, was als Antwort geliefert wurde, konnte mit der höchsten Berechtigungsstufe des Betriebssystems installiert werden, die unter Windows als SYSTEM und auf dem Mac als root bezeichnet wird. Da die Update-Adressen aufgegeben worden waren, konnte potenziell jeder, der die richtige Adresse registrierte, ein Programm an Computer senden, die diese weiterhin kontaktierten.
Eye Security erklärte, dass diese Zugriffsrechte dazu genutzt werden könnten, Ransomware zu installieren, gespeicherte Passwörter zu stehlen oder einen Computer für ein botnet zu rekrutieren, also für eine Gruppe kompromittierter Geräte, die gemeinsam ferngesteuert werden. Eine Stichprobe der Internetadressen, die Verbindungen herstellten, umfasste private Nutzer weltweit sowie Systeme in Behörden-, Militär- und Unternehmensnetzwerken. Das Unternehmen warnte jedoch davor, aus dieser Stichprobe gesicherte Schlussfolgerungen zu ziehen.
Die Sicherheitslücke wurde im Juni offengelegt und erhielt die Kennung CVE-2026-30612, einen Common-Vulnerabilities-and-Exposures-Identifier zur Erfassung öffentlich dokumentierter Sicherheitslücken. Die US-amerikanische Cybersecurity and Infrastructure Security Agency bewertet sie mit 9,8 von 10 Punkten. Betroffen sind Time4Popcorn-Versionen für Windows bis einschließlich 6.2.1.18, für Mac bis einschließlich 6.2.1.17 und für Android bis einschließlich 3.5.0.173.
Da die Software aufgegeben worden war und kein Patch des Anbieters zu erwarten war, holte Eye Security rechtlichen Rat ein und entwickelte ein Update, das ausschließlich den updater stoppte und deaktivierte. Es entfernte keine Dateien und sammelte keine Informationen. Das Unternehmen verglich den Eingriff mit Operation Ladybird, bei der die niederländische Polizei 2021 ein Update an mit Emotet infizierte Computer schickte, um diese malware zu deaktivieren. Anders als die Opfer von Emotet hatten Time4Popcorn-Nutzer die Anwendung selbst installiert. Sie hatten jedoch nicht unbedingt beabsichtigt, einen vergessenen updater jahrelang weiterlaufen zu lassen.
Nachdem jemand das defensive Update bei VirusTotal eingereicht hatte, begannen Antivirus-Scanner, es als malware einzustufen, weil es einen Windows-Dienst deaktivierte. Bei jedem blockierten Download blieb der ursprüngliche updater aktiv. Deshalb überarbeitete Eye Security sein Programm, bis nur noch ein Scanner es erkannte. Bis Dezember 2025 hatten mehr als 1 Million Systeme das Update erhalten, und der Datenverkehr zu den kontrollierten Adressen war um etwa 90 Prozent zurückgegangen. Am 1. März lieferte das Unternehmen noch rund 5.000 Updates pro Tag aus, was einem Rückgang um 98 Prozent entsprach. Anschließend beendete es die Operation, nachdem es zu dem Schluss gekommen war, dass die verbleibenden Systeme für den Betreiber eines botnet wahrscheinlich nicht mehr attraktiv waren.
Ende März übertrug Eye Security die 15 von ihm kontrollierten Webadressen an die Shadowserver Foundation. Shadowserver ist eine gemeinnützige Organisation, die solche Adressen als sinkholes betreiben kann, also als Ziele, die unerwünschten Datenverkehr sicher empfangen, anstatt schädliche Inhalte zurückzugeben. Die öffentlichen Registrierungsinformationen für popcorntimeupd[.]xyz weisen eine Übertragung mit Datum vom 20. März 2026 aus. Andere vom updater kontaktierte Adressen stehen jedoch weiterhin unter der Kontrolle Dritter, sodass Computer, die sie erreichen, nach wie vor gefährdet sind. Eye Security erklärte, dass die bereits von anderen registrierten Adressen geparkt oder zum Verkauf angeboten würden und es keine Hinweise darauf gebe, dass darüber Code ausgeliefert werde. Mit Stand vom 23. Oktober 2026 war die Sicherheitslücke nicht in CISAs Katalog der nachweislich aktiv ausgenutzten Sicherheitslücken enthalten.
Die Deaktivierung des updater macht Time4Popcorn nicht sicher. Laut Eye Security verwendet die Anwendung eine Browser-Engine aus dem Jahr 2014, deren sandbox deaktiviert ist. Eine sandbox ist eine Beschränkung, die verhindern soll, dass Webinhalte den übrigen Computer kontrollieren. Die Anwendung lädt außerdem Inhalte ohne Verschlüsselung und ruft Code von weiteren aufgegebenen Adressen ab. Eye Security registrierte diese Adressen und erstellte ein funktionsfähiges proof of concept, also eine Demonstration, die zeigte, dass beim Öffnen der Anwendung Code ausgeführt werden konnte. Diesen Code lieferte das Unternehmen jedoch nicht an Nutzer aus.
Eye Security empfiehlt, Popcorn Time zu deinstallieren. Windows-Nutzer, die es nicht sofort entfernen können, können den Dienst über eine Eingabeaufforderung mit Administratorrechten stoppen und deaktivieren. Dazu führen sie zunächst sc.exe stop "Update service" und anschließend sc.exe config "Update service" start= disabled aus. Auf einem Mac kann das Hilfsprogramm mit launchctl unload -w /Library/LaunchDaemons/PT.updd.plist entladen werden. Der updater von Android ist in die Anwendung integriert und erfordert, dass der Nutzer einer Installation zustimmt. Deshalb verschickte Eye Security keine Updates an Android-Geräte. Die Deinstallation der Android-App ist die einzige genannte Lösung.
IT-Teams können verwaltete Computer unter Windows nach Updater.exe und auf dem Mac nach PT.updd durchsuchen. Der Bericht von Eye Security führt außerdem alle 20 kontaktierten Domains sowie die hash-Werte der Dateien auf, also digitale Fingerabdrücke, mit denen sich bestimmte Dateien eindeutig identifizieren lassen. Unternehmen, die diese Art von Risiko durch nicht mehr unterstützte Software prüfen, bietet AEU-I IT, Infrastruktur und Beratung nach dem Security-first-Prinzip. Die zentrale Erkenntnis für betroffene Nutzer ist konkreter und unmittelbar: Time4Popcorn muss entfernt werden, denn die Deaktivierung einer einzelnen unsicheren Komponente behebt die übrigen Schwachstellen der Anwendung nicht.