Investigadores de la empresa Eye Security desactivaron el mecanismo de actualización de un fork abandonado de Popcorn Time y pusieron bajo su control los dominios que utilizaba. Según la empresa, varios millones de sistemas se conectaban a estas direcciones, con riesgo de manipulación del tráfico.
Popcorn Time es un cliente BitTorrent que permitía ver películas descargadas desde la web. Muy popular, el proyecto fue abandonado en 2014. Una alternativa legal está en preparación desde principios de 2025. La vulnerabilidad señalada por Eye Security afecta a Time4Popcorn, un fork de la aplicación original distribuido bajo el nombre Popcorn Time.
Eye Security constató que este programa de actualización, que permaneció activo, consultaba sus servidores remotos por HTTP, un protocolo de comunicación no cifrado. Varios dominios usados para estas actualizaciones expiraron, mientras que otros pertenecen a terceros y están simplemente aparcados, es decir, en espera sin contenido propio.
Millones de máquinas afectadas
El programa se ejecuta en segundo plano al iniciar el sistema, no cuenta con firma de código y descarga y ejecuta cualquier archivo ejecutable proporcionado por su dominio. Un atacante capaz de interceptar la conexión podría difundir una actualización maliciosa, que se ejecutaría con los privilegios máximos del sistema, llamados «System/root». La vulnerabilidad está referenciada bajo el identificador CVE-2026-30612.
Tras registrar el dominio abandonado popcorntimeupd.xyz, Eye Security observó millones de sistemas conectarse a él, así como a otros dominios que la empresa también registró. La mayoría de los dispositivos identificados funcionaban bajo Windows, entre 2,5 y 3 millones, seguidos por macOS, entre 250 000 y 350 000, y Android, menos de 200 000.
Los investigadores precisaron que estas conexiones provenían de proveedores de acceso a Internet repartidos por todo el mundo, pero también de redes gubernamentales y militares, así como de redes empresariales. «Es difícil sacar conclusiones, pero creemos que es razonable decir que muchos delincuentes estarían muy interesados en gran parte de estos sistemas», indica Eye Security.
Una corrección remota limitada
Al estar el proyecto abandonado, ningún editor podía publicar un parche. Por ello, Eye Security registró quince dominios no pertenecientes a terceros y difundió una actualización que desactiva completamente el mecanismo defectuoso. Según la empresa, la operación comenzó en noviembre de 2025 y, en marzo de 2026, alrededor de 2 millones de sistemas habían recibido este parche, lo que corresponde a una reducción del 98 % en las solicitudes de actualización hacia sus dominios.
Esta corrección solo se transmitió a los sistemas Windows y macOS. En Android, su instalación requiere una acción del usuario, y el programa de actualización forma parte de la aplicación, sin poder desactivarse por separado. A finales de marzo, la Shadowserver Foundation retomó los dominios, que siguen redirigidos a sus servidores, junto con otros dominios desde los que la aplicación cargaba código JavaScript y que también estaban abandonados.
El mecanismo de actualización puede desactivarse manualmente, pero Eye Security subraya que la aplicación se basa en una versión de Chrome de 2014, sin sandbox, y que debería eliminarse por completo. «Nuestra actualización solo desactivó el programa de actualización. El resto de la aplicación no cambió, por lo que estos riesgos permanecen para quien aún use Popcorn Time», indica la empresa, que concluye: «Nuestro consejo es simple: desinstálenlo.»
