I ricercatori della società Eye Security hanno disattivato il meccanismo di aggiornamento di un fork abbandonato di Popcorn Time e preso il controllo dei domini che utilizzava. Secondo l’azienda, diversi milioni di sistemi si collegavano a questi indirizzi, con il rischio di manipolazione del traffico.
Popcorn Time è un client BitTorrent che permetteva di guardare film scaricati dal web. Molto popolare, il progetto è stato abbandonato nel 2014. Un’alternativa legale è in preparazione dall’inizio del 2025. La vulnerabilità individuata da Eye Security riguarda Time4Popcorn, un fork dell’applicazione originale distribuito con il nome Popcorn Time.
Eye Security ha constatato che questo programma di aggiornamento, rimasto attivo, interrogava i suoi server remoti in HTTP, un protocollo di comunicazione non cifrato. Diversi domini utilizzati per questi aggiornamenti sono scaduti, mentre altri appartengono a terzi e sono semplicemente parcheggiati, cioè messi in attesa senza contenuto proprio.
Milioni di macchine coinvolte
Il programma si avvia in background all’avvio del sistema, non beneficia di firma del codice e scarica ed esegue qualsiasi file eseguibile fornito dal suo dominio. Un attaccante in grado di intercettare la connessione potrebbe quindi diffondere un aggiornamento malevolo, che verrebbe eseguito con i privilegi massimi del sistema, chiamati « System/root ». La vulnerabilità è referenziata con l’identificativo CVE-2026-30612.
Dopo aver registrato il dominio abbandonato popcorntimeupd.xyz, Eye Security ha osservato milioni di sistemi collegarsi ad esso, così come ad altri domini che l’azienda ha anch’essa registrato. La maggior parte dei dispositivi identificati funzionava sotto Windows, tra 2,5 e 3 milioni, davanti a macOS, tra 250.000 e 350.000, e Android, meno di 200.000.
I ricercatori hanno precisato che queste connessioni provenivano da fornitori di accesso a Internet distribuiti in tutto il mondo, ma anche da reti governative e militari, così come da reti aziendali. « È difficile trarne conclusioni, ma riteniamo ragionevole affermare che i criminali sarebbero molto interessati a molti di questi sistemi », indica Eye Security.
Una correzione a distanza limitata
Il progetto essendo abbandonato, nessun editore poteva pubblicare una patch. Eye Security ha quindi registrato quindici domini non detenuti da terzi e diffuso un aggiornamento che disabilita completamente il meccanismo difettoso. Secondo l’azienda, l’operazione è iniziata a novembre 2025 e, a marzo 2026, circa 2 milioni di sistemi avevano ricevuto questa correzione, il che corrisponde a una diminuzione del 98% delle richieste di aggiornamento verso i suoi domini.
Questa correzione è stata trasmessa solo ai sistemi Windows e macOS. Su Android, la sua installazione richiede un’azione dell’utente, e il programma di aggiornamento fa parte dell’applicazione, senza poter essere disattivato separatamente. Fine marzo, la Shadowserver Foundation ha ripreso i domini, che rimangono reindirizzati verso i suoi server, con altri domini di cui l’applicazione caricava codice JavaScript e che erano anch’essi abbandonati.
Il meccanismo di aggiornamento può essere disattivato manualmente, ma Eye Security sottolinea che l’applicazione si basa su una versione di Chrome datata 2014, senza sandbox, e che dovrebbe essere completamente rimossa. « Il nostro aggiornamento ha solo disabilitato il programma di aggiornamento. Il resto dell’applicazione non è cambiato, quindi questi rischi permangono per chiunque utilizzi ancora Popcorn Time », indica l’azienda, che conclude: « Il nostro consiglio è semplice: disinstallatelo. »
