Abandoned Popcorn Time app exposed millions of device to RCE attacks
BleepingComputer · 23 oct, 22:55
Investigadores de Eye Security descubrieron CVE-2026-30612, una vulnerabilidad crítica en el actualizado de la aplicación abandonada Time4Popcorn que permitía ejecutar código remoto con privilegios elevados. El fallo afectaba a millones de dispositivos Windows y macOS que se conectaban a través de HTTP sin verificar firmas digitales. Los investigadores aseguraron de forma responsable los sistemas entregando código de remediación que deshabilitó el actualizador, previniendo un posible ataque catastrófico.
Time4Popcorn es un fork del cliente BitTorrent Popcorn Time que fue abandonado pero luego relanzado como aplicación legítima de streaming. El vulnerable mecanismo de actualización contactaba con el dominio popcorntimeupd.xyz sin encriptación SSL/TLS y aceptaba ejecutables sin validar firmas digitales. Cualquiera que controlara el dominio podría realizar ataques de man-in-the-middle e inyectar malware ejecutándose como SYSTEM en Windows o como root en macOS.
Eye Security registró el dominio de actualización vulnerable y observó hasta 3 millones de conexiones de clientes Windows y 350.000 de macOS, procedentes de redes residenciales, corporativas, gubernamentales y militares. Entre noviembre de 2025 y marzo de 2026, los investigadores utilizaron el mismo mecanismo vulnerable para distribuir código de remediación que deshabilitó el actualizador de forma legal y sin recopilar datos. Tras desplegar la remediación, las solicitudes al dominio de actualización bajaron un 98% para marzo de 2026.
Puntos clave
- CVE-2026-30612 afecta a Windows y macOS con ejecución remota de código con privilegios elevados
- Hasta 3 millones de sistemas Windows y 350.000 macOS vulnerables detectados
- Actualización sin encriptación y sin verificación de firmas digitales
- Remediación exitosa desplegada entre noviembre 2025 y marzo 2026 que deshabilitó el actualizador
- Usuarios de Android y aplicaciones con Chrome 2014 sin sandbox aún expuestos
Figuras de la fuente
