La società olandese di sicurezza Eye Security dichiara di aver distribuito tra novembre 2025 e marzo 2026 più di due milioni di download di aggiornamenti, per disattivare un updater vulnerabile in background su computer che non le appartenevano. Il componente apparteneva a Time4Popcorn, un fork abbandonato di Popcorn Time il cui meccanismo di aggiornamento poteva consentire a un attaccante di eseguire software con privilegi di sistema completi su Windows e Mac.
L'operazione, denominata Operation IXIM, ha riguardato una falla oggi tracciata come CVE-2026-30612. Eye afferma che non esiste una patch disponibile, perché il software è abbandonato, e raccomanda di rimuoverlo completamente. La ricerca non riguarda il progetto legale separato che all'inizio del 2025 ha cominciato a usare il nome Popcorn Time.
Un dominio scaduto ha esposto un canale di aggiornamento privilegiato
Eye ha individuato l'updater durante un'attività di threat hunting di routine sul laptop di un cliente. Un processo chiamato Updater.exe tentava più volte di contattare un indirizzo web non registrato. Dopo che la società ha registrato quell'indirizzo, ha ricevuto circa 50 richieste al secondo, secondo The Hacker News.
Gli updater per Windows e Mac si avviavano automaticamente all'avvio e controllavano la presenza di nuove versioni su una connessione non cifrata. Accettavano gli aggiornamenti senza autenticarne la provenienza, poi li eseguivano senza interazione dell'utente come NT AUTHORITY\SYSTEM su Windows o come root su Mac. Un attaccante in grado di manipolare quel traffico, anche registrando un dominio di aggiornamento abbandonato, potrebbe fornire un aggiornamento malevolo.
Secondo Eye, questo accesso potrebbe consentire l'installazione di ransomware, il furto di password o l'arruolamento in una botnet. Si trattava però di conseguenze possibili: la società ha riferito di non aver trovato prove che terzi stessero distribuendo codice attraverso quegli indirizzi di aggiornamento. I domini già registrati da altri risultavano parcheggiati oppure messi in vendita.
Nell'arco di sei mesi Eye ha osservato oltre 3,8 milioni di ID hardware distinti. Questi identificativi non si traducono in modo affidabile in un conteggio di dispositivi: alcuni computer Windows condividevano lo stesso ID, mentre alcuni Mac ne cambiavano uno. Eye ha poi stimato la popolazione in 2,5-3 milioni di computer Windows e 250.000-350.000 Mac.
Un campione di indirizzi connessi suggeriva la presenza di utenti domestici in tutto il mondo e di macchine su reti governative, militari e aziendali. Eye ha avvertito che era difficile trarre conclusioni da quella mappatura.
The Hacker News elenca le versioni di Time4Popcorn interessate: Windows fino alla 6.2.1.18 inclusa, Mac fino alla 6.2.1.17 inclusa e Android fino alla 3.5.0.173 inclusa. Riporta un punteggio di gravità CISA di 9,8 su 10. Al 23 ottobre 2026 la vulnerabilità non compariva nel catalogo Known Exploited Vulnerabilities della CISA.
Disattivare l'updater attraverso la sua stessa infrastruttura
Dopo aver consultato un legale, Eye ha usato il canale di aggiornamento per distribuire un programma che, secondo la società, si limitava a fermare e disattivare l'updater, senza eliminare file né raccogliere dati.
Il rilevamento da parte degli antivirus ha complicato la distribuzione. Dopo che qualcuno ha caricato l'aggiornamento di disattivazione su VirusTotal, i motori di sicurezza hanno iniziato a segnalarlo. Secondo Eye, le consegne bloccate lasciavano attivo l'updater vulnerabile, così la società ha rivisto il programma finché un solo scanner continuava a rilevarlo.
Entro dicembre 2025 Eye ha dichiarato di aver aggiornato oltre un milione di sistemi e di aver ridotto di circa il 90 per cento il traffico verso i propri indirizzi controllati. Entro il 1° marzo le consegne erano scese a circa 5.000 aggiornamenti al giorno, che la società ha descritto come una riduzione del 98 per cento. La società ha interrotto l'operazione dopo aver giudicato il volume residuo troppo piccolo per attirare un operatore di botnet. Il totale di oltre due milioni di download non è un conteggio verificato dei computer distinti protetti.
A marzo Eye ha trasferito i propri quindici domini controllati alla Shadowserver Foundation. I dati di registrazione di popcorntimeupd[.]xyz indicano un trasferimento del 20 marzo 2026 e ora puntano ai server sinkhole di Shadowserver. Altri indirizzi di aggiornamento restavano in mano a terzi, lasciando esposte le macchine che contattavano quelle destinazioni.
Eye ha presentato l'operazione a Hack.lu il 22 ottobre.
Rimuovere l'applicazione resta il rimedio raccomandato
Disattivare l'updater non elimina le altre falle. Secondo Eye, l'applicazione usa un motore browser del 2014 con la sandbox di sicurezza disattivata, recupera contenuti tramite connessioni non cifrate e carica codice da domini abbandonati. La società ha registrato anche quei domini e ha costruito un proof of concept funzionante, ma ha dichiarato di non averli usati per eseguire codice sui computer degli utenti.
Nel proprio avviso su Time4Popcorn, Eye raccomanda di disinstallare il software. Gli utenti Windows possono arrestare e disattivare il servizio di aggiornamento con:
sc.exe stop "Update service"
sc.exe config "Update service" start= disabled
Su Mac, l'helper privilegiato può essere scaricato con:
launchctl unload -w /Library/LaunchDaemons/PT.updd.plist
Su Android, i controlli degli aggiornamenti avvengono solo all'apertura dell'applicazione, e l'installazione di un APK fornito richiede l'accettazione dell'utente. Eye non ha inviato il proprio aggiornamento di disattivazione ai dispositivi Android. Poiché quell'updater è incorporato nell'applicazione, Eye raccomanda di rimuovere del tutto l'app.
Per i controlli sugli endpoint, i difensori possono cercare Updater.exe, di solito in C:\Program Files (x86)\Popcorn Time\ o C:\Program Files\Popcorn Time\, e l'helper per Mac in /Library/PrivilegedHelperTools/PT.updd.
