Des chercheurs de la société Eye Security ont désactivé le mécanisme de mise à jour d’un fork abandonné de Popcorn Time et placé sous leur contrôle les domaines qu’il utilisait. Selon l’entreprise, plusieurs millions de systèmes se connectaient à ces adresses, avec un risque de manipulation du trafic.
- Eye Security a désactivé la mise à jour d’un fork abandonné de Popcorn Time.
- Des millions de machines se connectaient à ces domaines en HTTP non chiffré.
- Un attaquant pouvait diffuser un exécutable malveillant avec les droits System/root.
- Les utilisateurs doivent désinstaller l’application, car les risques demeurent.
Popcorn Time est un client BitTorrent qui permettait de regarder des films téléchargés depuis le web. Très populaire, le projet a été abandonné en 2014. Une alternative légale est en préparation depuis le début de l’année 2025. La faille visée par Eye Security concerne Time4Popcorn, un fork de l’application originale distribué sous le nom Popcorn Time.
Eye Security a constaté que ce programme de mise à jour, resté actif, interrogeait ses serveurs distants en HTTP, un protocole de communication non chiffré. Plusieurs domaines utilisés pour ces mises à jour ont expiré, tandis que d’autres appartiennent à des tiers et sont simplement parqués, c’est-à-dire mis en attente sans contenu propre.
Des millions de machines concernées
Le programme se lance en arrière-plan au démarrage du système, ne bénéficie pas de signature de code et télécharge puis exécute tout fichier exécutable fourni par son domaine. Un attaquant capable d’intercepter la connexion pourrait donc diffuser une mise à jour malveillante, qui serait exécutée avec les privilèges maximaux du système, appelés « System/root ». La vulnérabilité est référencée sous l’identifiant CVE-2026-30612.
Après avoir enregistré le domaine abandonné popcorntimeupd.xyz, Eye Security a observé des millions de systèmes s’y connecter, ainsi que d’autres domaines que l’entreprise a également enregistrés. La majorité des appareils identifiés fonctionnaient sous Windows, entre 2,5 et 3 millions, devant macOS, entre 250 000 et 350 000, et Android, moins de 200 000.
Les chercheurs ont précisé que ces connexions provenaient de fournisseurs d’accès à Internet répartis dans le monde entier, mais aussi de réseaux gouvernementaux et militaires, ainsi que de réseaux d’entreprises. « Il est difficile d’en tirer des conclusions, mais nous pensons qu’il est raisonnable de dire que des criminels seraient très intéressés par bon nombre de ces systèmes », indique Eye Security.
Une correction à distance limitée
Le projet étant abandonné, aucun éditeur ne pouvait publier de correctif. Eye Security a donc enregistré quinze domaines non détenus par des tiers et diffusé une mise à jour qui désactive entièrement le mécanisme défectueux. Selon l’entreprise, l’opération a débuté en novembre 2025 et, en mars 2026, environ 2 millions de systèmes avaient reçu ce correctif, ce qui correspond à une baisse de 98 % des requêtes de mise à jour vers ses domaines.
Cette correction n’a été transmise qu’aux systèmes Windows et macOS. Sur Android, son installation nécessite une action de l’utilisateur, et le programme de mise à jour fait partie de l’application, sans pouvoir être désactivé séparément. Fin mars, la Shadowserver Foundation a repris les domaines, qui restent redirigés vers ses serveurs, avec d’autres domaines dont l’application chargeait du code JavaScript et qui étaient également abandonnés.
Le mécanisme de mise à jour peut être désactivé manuellement, mais Eye Security souligne que l’application repose sur une version de Chrome datant de 2014, sans sandbox, et qu’elle devrait être entièrement supprimée. « Notre mise à jour a seulement désactivé le programme de mise à jour. Le reste de l’application n’a pas changé, donc ces risques demeurent pour quiconque utilise encore Popcorn Time », indique l’entreprise, qui conclut : « Notre conseil est simple : désinstallez-le. »
