Eye Security社の研究者らは、放棄されたPopcorn Timeのフォークの更新メカニズムを無効化し、その使用していたドメインを自らの管理下に置いた。同社によれば、数百万台のシステムがこれらのアドレスに接続しており、トラフィックの操作リスクがあった。
Popcorn Timeは、ウェブからダウンロードした映画を視聴できるBitTorrentクライアントだった。非常に人気があったが、プロジェクトは2014年に放棄された。合法的な代替案が2025年初頭から準備されている。Eye Securityが対象とした脆弱性は、オリジナルアプリのフォークであるTime4Popcornに関するもので、Popcorn Timeという名称で配布されていた。
Eye Securityは、この更新プログラムがアクティブなまま残っており、暗号化されていない通信プロトコルであるHTTPでリモートサーバーに問い合わせを行っていることを確認した。これらの更新に使用されていた複数のドメインは有効期限が切れており、他のものは第三者に属し、単にパーキング（独自のコンテンツなしで保留）されている状態だった。
数百万台のマシンが影響を受ける可能性
このプログラムはシステム起動時にバックグラウンドで起動し、コード署名がなく、そのドメインから提供される実行可能ファイルをダウンロードして実行する。したがって、接続を傍受できる攻撃者は、悪意のある更新を配信でき、それは「System/root」と呼ばれるシステムの最大権限で実行される可能性がある。この脆弱性はCVE-2026-30612という識別子で登録されている。
放棄されたドメインpopcorntimeupd.xyzを登録した後、Eye Securityは数百万台のシステムがそこに接続するのを観察し、同社が同様に登録した他のドメインにも接続していることを確認した。識別されたデバイスの大半はWindowsで動作しており、250万から300万台、次いでmacOSが25万から35万台、Androidが20万台未満だった。
研究者らは、これらの接続が世界中に分散したインターネットサービスプロバイダーからのものであるだけでなく、政府や軍のネットワーク、企業ネットワークからのものでもあると説明した。「結論を導き出すのは難しいが、犯罪者がこれらのシステムの多くに非常に強い関心を持つだろうと考えるのは妥当である」とEye Securityは述べている。
限定的なリモート修正
プロジェクトは放棄されているため、ベンダーが修正プログラムを公開することはできなかった。そこでEye Securityは、第三者に保有されていない15のドメインを登録し、欠陥のあるメカニズムを完全に無効化する更新を配信した。同社によると、この操作は2025年11月に開始され、2026年3月までに約200万台のシステムがこの修正を受け取っており、これは同社のドメインへの更新リクエストが98％減少したことに対応する。
この修正はWindowsとmacOSのシステムにのみ送信された。Androidでは、そのインストールにはユーザーの操作が必要であり、更新プログラムはアプリケーションの一部であり、個別に無効化することはできない。3月末までに、Shadowserver Foundationがこれらのドメインを引き継ぎ、アプリケーションがJavaScriptコードを読み込んでいた他の放棄されたドメインと同様に、そのサーバーにリダイレクトされたまま維持されている。
更新メカニズムは手動で無効化できるが、Eye Securityは、このアプリケーションが2014年製のサンドボックスなしのChromeバージョンに依存しており、完全に削除されるべきだと強調する。「我々の更新は単に更新プログラムを無効化しただけです。アプリケーションの残りの部分は変更されていないため、Popcorn Timeをまだ使用している誰にとってもこれらのリスクは残っています」と同社は述べ、次のように締めくくっている：「我々のアドバイスはシンプルです：アンインストールしてください。」
