Forscher des Unternehmens Eye Security haben den Update-Mechanismus einer aufgegebenen Fork von Popcorn Time deaktiviert und die von ihr verwendeten Domains unter ihre Kontrolle gebracht. Laut dem Unternehmen verbinden sich mehrere Millionen Systeme mit diesen Adressen, mit dem Risiko einer Traffic-Manipulation.
Popcorn Time ist ein BitTorrent-Client, der das Ansehen von aus dem Web heruntergeladenen Filmen ermöglichte. Das sehr beliebte Projekt wurde 2014 eingestellt. Eine legale Alternative wird seit Anfang 2025 vorbereitet. Die von Eye Security aufgedeckte Schwachstelle betrifft Time4Popcorn, eine Fork der Originalanwendung, die unter dem Namen Popcorn Time vertrieben wurde.
Eye Security stellte fest, dass dieses weiterhin aktive Update-Programm seine entfernten Server über HTTP abfragt, ein unverschlüsseltes Kommunikationsprotokoll. Mehrere für diese Updates verwendete Domains waren abgelaufen, während andere Dritten gehören und lediglich geparkt sind, also ohne eigenen Inhalt in Wartestellung stehen.
Millionen betroffener Geräte
Das Programm startet im Hintergrund beim Systemstart, verfügt über keine Code-Signatur und lädt jede von seiner Domain bereitgestellte ausführbare Datei herunter und führt sie aus. Ein Angreifer, der die Verbindung abfangen könnte, könnte daher ein schädliches Update verbreiten, das mit den maximalen Systemrechten, sogenannten „System/root »-Rechten, ausgeführt würde. Die Schwachstelle ist unter der Kennung CVE-2026-30612 erfasst.
Nach der Registrierung der aufgegebenen Domain popcorntimeupd.xyz beobachtete Eye Security, dass sich Millionen von Systemen mit ihr sowie mit anderen Domains verbanden, die das Unternehmen ebenfalls registriert hatte. Die Mehrheit der identifizierten Geräte lief unter Windows, zwischen 2,5 und 3 Millionen, vor macOS mit 250.000 bis 350.000 und Android mit weniger als 200.000.
Die Forscher gaben an, dass diese Verbindungen von Internetdienstanbietern weltweit, aber auch von Regierungs- und Militärnetzwerken sowie Unternehmensnetzwerken stammten. „Es ist schwierig, daraus Schlüsse zu ziehen, aber wir halten es für vernünftig zu sagen, dass Kriminelle an vielen dieser Systeme sehr interessiert wären », erklärt Eye Security.
Eine eingeschränkte Fernkorrektur
Da das Projekt aufgegeben war, konnte kein Herausgeber einen Patch veröffentlichen. Eye Security registrierte daher fünfzehn nicht von Dritten gehaltene Domains und verbreitete ein Update, das den fehlerhaften Mechanismus vollständig deaktiviert. Laut dem Unternehmen begann die Operation im November 2025, und bis März 2026 hatten etwa 2 Millionen Systeme diesen Korrektur erhalten, was einem Rückgang der Update-Anfragen an seine Domains um 98 % entspricht.
Diese Korrektur wurde nur an Windows- und macOS-Systeme übermittelt. Unter Android erfordert ihre Installation eine Benutzeraktion, und das Update-Programm ist Teil der Anwendung und kann nicht separat deaktiviert werden. Ende März übernahm die Shadowserver Foundation die Domains, die weiterhin auf ihre Server umgeleitet werden, zusammen mit anderen Domains, von denen die Anwendung JavaScript-Code lud und die ebenfalls aufgegeben waren.
Der Update-Mechanismus kann manuell deaktiviert werden, aber Eye Security weist darauf hin, dass die Anwendung auf einer Chrome-Version von 2014 ohne Sandbox basiert und vollständig entfernt werden sollte. „Unser Update hat nur das Update-Programm deaktiviert. Der Rest der Anwendung hat sich nicht geändert, daher bestehen diese Risiken weiterhin für jeden, der Popcorn Time noch nutzt », erklärt das Unternehmen und schließt: „Unser Rat ist einfach: Deinstallieren Sie es. »
