أداة تحديث قديمة لـ Popcorn Time عرضت ملايين أجهزة الكمبيوتر لخطر السيطرة عليها

Popcorn Time هو عميل BitTorrent كان يتيح مشاهدة الأفلام التي تم تنزيلها من الويب. وبعد أن اكتسب المشروع المهجور منذ عام 2014 شعبية هائلة، يجري التحضير لبديل قانوني منذ بداية عام 2025. الثغرة التي استهدفتها Eye Security تتعلق بـ Time4Popcorn، وهي نسخة مشتقة من التطبيق الأصلي كانت تُوزع تحت اسم Popcorn Time.

لاحظت Eye Security أن برنامج التحديث هذا، الذي ظل نشطًا، كان يتواصل مع خوادمه البعيدة عبر بروتوكول HTTP غير المشفر. كما انتهت صلاحية عدة نطاقات كانت تُستخدم لهذه التحديثات، بينما يمتلك أطراف آخرون نطاقات أخرى وهي موقوفة ببساطة، أي معطلة دون محتوى فعلي.

ملايين الأجهزة متأثرة

يبدأ تشغيل البرنامج في الخلفية عند بدء تشغيل النظام، ولا يحمل توقيعًا رقميًا للكود، ويقوم بتنزيل وتنفيذ أي ملف تنفيذي يوفره نطاقه. وبالتالي، يمكن لمهاجم قادر على اعتراض الاتصال نشر تحديث ضار، سيُنفذ بأقصى صلاحيات النظام، المسماة «System/root». تم تسجيل الثغرة تحت المعرف CVE-2026-30612.

بعد تسجيل النطاق المهجور popcorntimeupd.xyz، لاحظت Eye Security ملايين الأنظمة تتصل به، بالإضافة إلى نطاقات أخرى سجلتها الشركة أيضًا. كانت غالبية الأجهزة المُحددة تعمل بنظام Windows، بين 2.5 و3 ملايين جهاز، تليها أنظمة macOS، بين 250,000 و350,000 جهاز، ثم Android، بأقل من 200,000 جهاز.

أوضح الباحثون أن هذه الاتصالات جاءت من مزودي خدمة إنترنت منتشرين حول العالم، وكذلك من شبكات حكومية وعسكرية، وشبكات شركات. «يصعب استخلاص استنتاجات محددة، لكننا نعتقد أنه من المعقول القول إن المجرمين سيكونون مهتمين للغاية بالعديد من هذه الأنظمة»، كما ذكرت Eye Security.

تصحيح عن بُعد محدود

نظرًا لأن المشروع مهجور، لم يكن هناك ناشر قادر على إصدار تصحيح. لذلك سجلت Eye Security خمسة عشر نطاقًا لا يملكها أطراف آخرون، ونشرت تحديثًا يعطل آلية التحديث المعيبة بالكامل. وفقًا للشركة، بدأت العملية في نوفمبر 2025، وبحلول مارس 2026، كان حوالي مليوني نظام قد تلقى هذا التصحيح، مما يتوافق مع انخفاض بنسبة 98٪ في طلبات التحديث الموجهة إلى نطاقاتها.

لم يُرسل هذا التصحيح إلا لأنظمة Windows وmacOS. على نظام Android، يتطلب تثبيته إجراءً من المستخدم، كما أن برنامج التحديث جزء من التطبيق ولا يمكن تعطيله بشكل منفصل. في نهاية مارس، تولت مؤسسة Shadowserver Foundation إدارة النطاقات، التي لا تزال موجهة إلى خوادمها، بالإضافة إلى نطاقات أخرى كان التطبيق يحمل منها كود JavaScript وكانت مهجورة أيضًا.

يمكن تعطيل آلية التحديث يدويًا، لكن Eye Security تؤكد أن التطبيق يعتمد على إصدار قديم من Chrome يعود لعام 2014، دون بيئة عزل، ويجب إزالته بالكامل. «تحديثنا قام فقط بتعطيل برنامج التحديث. بقية التطبيق لم تتغير، لذا تبقى هذه المخاطر قائمة لأي شخص لا يزال يستخدم Popcorn Time»، كما ذكرت الشركة، التي ختمت بالقول: «نصيحنا بسيطة: قم بإلغاء تثبيته.»