Investigadores apagan a distancia el actualizador vulnerable de Time4Popcorn en millones de computadoras

Eye Security registró el dominio abandonado de la app y vio hasta 3 millones de conexiones desde Windows y 350,000 desde macOS, incluidas redes corporativas y de gobierno.

Investigadores de Eye Security desactivaron a distancia el actualizador vulnerable de Time4Popcorn, una bifurcación abandonada del cliente BitTorrent Popcorn Time, y cerraron una falla que habría permitido ejecutar código malicioso con privilegios elevados en millones de computadoras, informó BleepingComputer el 23 de octubre.

La vulnerabilidad, registrada como CVE-2026-30612, afecta a los actualizadores de Windows y macOS, que contactaban el dominio abandonado de la app por HTTP sin cifrar y aceptaban ejecutables sin verificar firmas digitales. Eye Security registró ese dominio y observó hasta 3 millones de conexiones desde Windows y 350,000 desde macOS, provenientes de proveedores residenciales y de redes corporativas, gubernamentales y militares. Ningún usuario parecía usar activamente la app: estaba instalada y olvidada.

«Si pudiéramos enviar una actualización, podríamos obtener ejecución de código en millones de sistemas», escribió Eye Security. Entre noviembre de 2025 y marzo de 2026 usó el propio mecanismo para enviar un código que detuvo y desactivó el actualizador, sin recoger datos ni borrar archivos. Registró 2 millones de descargas de esa actualización y, para el 1 de marzo, las solicitudes al dominio habían caído 98 %. El dominio pasó luego a la organización sin fines de lucro The Shadowserver Foundation.

Quedan dos riesgos: en Android el actualizador no pudo desactivarse a distancia, y la app usa un motor de Chrome de 2014 sin protecciones de aislamiento.

Fuente: BleepingComputer: «Abandoned Popcorn Time app exposed millions of devices to RCE attacks», 23 de octubre de 2026.