Kwetsbaarheid in de verlaten Time4Popcorn-app maakte het mogelijk om op miljoenen Windows- en macOS-apparaten kwaadaardige code uit te voeren met verhoogde rechten.
Onderzoekers hebben een kwetsbare updater in de verlaten Time4Popcorn-app, een fork van de Popcorn Time BitTorrent-client, op afstand uitgeschakeld. Deze kwetsbaarheid, geregistreerd als CVE-2026-30612, maakte het mogelijk voor aanvallers om kwaadaardige code uit te voeren met verhoogde privileges op miljoenen computers met Windows en macOS.
De kwetsbaarheid zat in de updatefunctie die verbinding maakte met het inmiddels verlaten domein popcorntimeupd.xyz via onbeveiligd HTTP-verkeer en uitvoerbare bestanden accepteerde zonder digitale handtekeningen te verifiëren. Iedereen die controle had over dit update-domein kon het HTTP-verkeer manipuleren en code uitvoeren als SYSTEM op Windows en als root op macOS. De Popcorn Time-app bood een Netflix-achtige interface met geïntegreerde BitTorrent-downloads, waarmee gebruikers illegale content direct binnen de app konden bekijken. Hoewel het project vanwege juridische redenen werd stopgezet en later als legitieme streamingdienst werd herstart, ontstonden er forks zoals Time4Popcorn die snel miljoenen gebruikers trokken.
Onderzoekers van Eye Security ontdekten het beveiligingsrisico nadat zij het domein popcorntimeupd.xyz registreerden en tot 3 miljoen Windows- en 350.000 macOS-clients zagen verbinden met Time4Popcorn. De verbindingen kwamen van zowel particuliere internetproviders als zakelijke, overheids- en militaire netwerken. De meeste gebruikers leken de app echter niet actief te gebruiken, wat suggereert dat deze was geïnstalleerd en vervolgens vergeten. Eye Security waarschuwt dat het versturen van een update potentieel code-uitvoering op miljoenen systemen mogelijk maakte, met ernstige gevolgen als dit in verkeerde handen zou vallen.
Tussen november 2025 en maart 2026 gebruikte Eye Security het kwetsbare update-mechanisme om een herstelcode te verspreiden die de updater stopzette en uitschakelde. Deze payload verzamelde geen gegevens en verwijderde geen bestanden, waardoor de actie binnen een volledig legale context bleef. Tijdens tests moest de payload worden aangepast om antivirussoftware te omzeilen die het uitschakelen van de service detecteerde. Na de uitrol van de remedie werden 2 miljoen updates gedownload en daalden de verzoeken aan het update-domein met 98%. Vervolgens droeg Eye Security het domein over aan de non-profitorganisatie The Shadowserver Foundation.
Ondanks deze maatregelen blijft het risico voor gebruikers van de app niet volledig weggenomen. Android-gebruikers blijven kwetsbaar omdat een update-installatie daar gebruikersinteractie vereist en de updater niet op afstand kon worden uitgeschakeld. Daarnaast gebruikt Time4Popcorn een sterk verouderde Chrome-engine uit 2014 zonder sandboxbescherming, wat kan leiden tot verdere exploits. De beste maatregel voor gebruikers is het volledig verwijderen van de software van hun systemen.
