Una flaw di Popcorn Time ha portato a 2 milioni di aggiornamenti di disattivazione
La flaw di Popcorn Time identificata come CVE-2026-30612 ha lasciato milioni di computer in grado di installare software distribuito tramite domain di aggiornamento abbandonati. Tra novembre 2025 e marzo 2026, la società di sicurezza olandese Eye Security ha inviato oltre 2 milioni di download di aggiornamenti ai dispositivi interessati, utilizzando il meccanismo vulnerabile per arrestare e disabilitare l'updater anziché installare una patch convenzionale.
L'updater faceva parte di Time4Popcorn, una copia abbandonata di Popcorn Time, un'applicazione che trasmetteva in streaming film e programmi televisivi piratati tramite BitTorrent, un sistema peer-to-peer per la condivisione di file. Il Popcorn Time originale ha chiuso nel 2014, ma diverse copie hanno continuato a operare con lo stesso nome. Un progetto legale separato, che ha adottato il nome all'inizio del 2025, non è collegato.
Eye Security ha scoperto il problema durante una normale attività di threat hunting sulla rete di un cliente. Un programma chiamato Updater.exe contattava ripetutamente un indirizzo web che non era più registrato. La società ha registrato l'indirizzo per osservare il traffico e ha iniziato a ricevere circa 50 richieste al secondo. Successivamente ha denominato il lavoro Operation IXIM e lo ha descritto in un resoconto scritto e durante Hack.lu il 22 ottobre.
Durante sei mesi di osservazione, le richieste contenevano più di 3,8 milioni di hardware ID diversi, identificatori concepiti per distinguere i dispositivi. Eye Security ha scoperto che non costituivano una misura affidabile, perché alcuni computer Windows condividevano lo stesso ID, mentre alcuni Mac modificavano il proprio. La sua stima rivista era compresa tra 2,5 e 3 milioni di computer Windows e tra 250.000 e 350.000 Mac.
Su Windows e Mac, l'updater si avviava insieme al computer e continuava a funzionare in background. Richiedeva nuovo software tramite una connessione non cifrata, il che significa che il traffico non era protetto dalle intercettazioni, e non verificava chi fornisse il download. Qualunque contenuto restituito poteva essere installato con il massimo livello di controllo del sistema operativo, noto come SYSTEM su Windows e root su Mac. Poiché gli indirizzi di aggiornamento erano stati abbandonati, chiunque avesse registrato l'indirizzo corretto avrebbe potuto potenzialmente inviare un programma ai computer che continuavano a contattarlo.
Eye Security ha affermato che quel livello di accesso poteva essere utilizzato per distribuire ransomware, rubare password memorizzate o reclutare un computer in una botnet, ossia un insieme di dispositivi compromessi controllati congiuntamente. Un campione degli indirizzi internet connessi includeva utenti domestici di tutto il mondo e sistemi appartenenti a reti governative, militari e aziendali, sebbene la società abbia avvertito che da quel campione non si potevano trarre conclusioni certe.
La vulnerabilità è stata divulgata a giugno e le è stato assegnato CVE-2026-30612, un identificatore Common Vulnerabilities and Exposures utilizzato per monitorare le flaw di sicurezza documentate pubblicamente. La U.S. Cybersecurity and Infrastructure Security Agency le assegna un punteggio di 9,8 su 10. Le versioni interessate sono Time4Popcorn per Windows fino alla 6.2.1.18, per Mac fino alla 6.2.1.17 e per Android fino alla 3.5.0.173.
Poiché il software era stato abbandonato e non era prevista alcuna patch del fornitore, Eye Security ha richiesto una consulenza legale e ha creato un aggiornamento che si limitava ad arrestare e disabilitare l'updater. Non rimuoveva file né raccoglieva informazioni. La società ha paragonato l'intervento a Operation Ladybird, nell'ambito della quale nel 2021 la polizia olandese inviò un aggiornamento ai computer infettati da Emotet per disabilitare quel malware. A differenza delle vittime di Emotet, gli utenti di Time4Popcorn avevano installato personalmente l'applicazione, ma non avevano necessariamente intenzione di lasciare un updater dimenticato in funzione per anni.
Dopo che qualcuno ha inviato l'aggiornamento difensivo a VirusTotal, gli scanner antivirus hanno iniziato a classificarlo come malware perché disabilitava un servizio Windows. Ogni download bloccato lasciava attivo l'updater originale, quindi Eye Security ha modificato il proprio programma finché un solo scanner ha continuato a rilevarlo. Entro dicembre 2025, oltre 1 milione di sistemi aveva ricevuto l'aggiornamento e il traffico verso gli indirizzi controllati era diminuito di circa il 90%. Entro il 1° marzo, la società distribuiva circa 5.000 aggiornamenti al giorno, pari a una riduzione del 98%. Ha quindi interrotto l'operazione dopo aver concluso che era improbabile che la popolazione rimanente attirasse un operatore di botnet.
Alla fine di marzo, Eye Security ha trasferito i 15 indirizzi web sotto il proprio controllo alla Shadowserver Foundation. Shadowserver è un'organizzazione non profit che può mantenere tali indirizzi come sinkholes, destinazioni che ricevono in sicurezza il traffico indesiderato anziché restituire contenuti dannosi. Le informazioni pubbliche di registrazione relative a popcorntimeupd[.]xyz mostrano un trasferimento datato 20 marzo 2026. Tuttavia, altri indirizzi contattati dall'updater restano sotto il controllo di soggetti esterni, quindi i computer che li raggiungono sono ancora esposti. Eye Security ha affermato che quelli già registrati da altri erano parcheggiati o messi in vendita e non mostravano prove della distribuzione di codice. Al 23 ottobre 2026, la flaw non figurava nel catalogo della CISA delle vulnerabilità note per essere sfruttate attivamente.
Disabilitare l'updater non rende Time4Popcorn sicuro. Secondo Eye Security, l'applicazione utilizza un browser engine del 2014 con la sandbox disabilitata. Una sandbox è una restrizione pensata per impedire ai contenuti web di controllare il resto del computer. L'applicazione carica inoltre contenuti senza cifratura e recupera codice da altri indirizzi abbandonati. Eye Security ha registrato tali indirizzi e creato un proof of concept funzionante, una dimostrazione del fatto che era possibile eseguire codice all'apertura dell'applicazione, ma non ha distribuito quel codice agli utenti.
Eye Security consiglia di disinstallare Popcorn Time. Gli utenti Windows che non possono rimuoverlo immediatamente possono arrestare e disabilitare il servizio da un prompt dei comandi con privilegi di amministratore usando sc.exe stop "Update service", seguito da sc.exe config "Update service" start= disabled. Su Mac, l'helper può essere scaricato con launchctl unload -w /Library/LaunchDaemons/PT.updd.plist. L'updater di Android è integrato nell'applicazione e richiede che l'utente approvi l'installazione, quindi Eye Security non ha inviato aggiornamenti ai dispositivi Android. La disinstallazione dell'app Android è l'unica soluzione indicata.
I team IT possono cercare Updater.exe sui computer Windows gestiti e PT.updd sui Mac. Il resoconto di Eye Security elenca inoltre tutti i 20 domain contattati e gli hash dei file, impronte digitali utilizzate per identificare file specifici. Alle aziende che esaminano questo tipo di rischio legato al software non supportato, AEU-I offre servizi IT, infrastrutturali e di consulenza incentrati sulla sicurezza. La lezione centrale per gli utenti interessati è più specifica e immediata: rimuovere Time4Popcorn, perché disabilitare un singolo componente non sicuro non corregge le vulnerabilità rimanenti dell'applicazione.