Popcorn Time abandonado: RCE sem correção; atualizador desativado em 2 milhões
O Time4Popcorn, fork abandonado do Popcorn Time (Windows, macOS, Android), tem um RCE sem correção (CVE-2026-30612) em todas as versões: o atualizador consulta domínios por HTTP sem criptografia e executa qualquer código servido, com privilégios de System/root. A Eye Security registrou 15 domínios abandonados e enviou uma atualização que desativou o mecanismo em cerca de 2 milhões de sistemas até março de 2026, com queda de 98% nas requisições; os domínios foram transferidos à Shadowserver Foundation e seguem sinkholados. A recomendação dos pesquisadores é desinstalar o aplicativo por completo, pois ele roda um Chrome de 2014 sem sandbox.
O que aconteceu
Pesquisadores da Eye Security descobriram uma falha de execução remota de código (CVE-2026-30612) no Time4Popcorn, fork abandonado do Popcorn Time ainda instalado em milhões de máquinas. O atualizador do aplicativo baixa e executa qualquer código servido por seus domínios, com privilégios totais, e não existirá correção porque o projeto foi abandonado. Os pesquisadores registraram os domínios abandonados e desativaram remotamente o atualizador em cerca de 2 milhões de sistemas até março de 2026.
Por que importa
A Eye Security estimou de 2,5 a 3 milhões de sistemas Windows, de 250.000 a 350.000 macOS e menos de 200.000 Android, com conexões também de redes corporativas, governamentais e militares. Quem controlasse um dos domínios poderia transformar esses dispositivos em um botnet ou vigiar máquinas específicas. Mesmo com o atualizador desativado, o aplicativo roda um Chrome de 2014 sem sandbox e mantém os riscos.
O que fazer
Desinstale o Popcorn Time/Time4Popcorn de todas as máquinas: a correção dos pesquisadores apenas desativou o atualizador e não há patch do fabricante. No Android, a desativação exige interação do usuário e o atualizador não pode ser desativado separadamente. Verifique o tráfego da rede corporativa em busca de conexões aos domínios de atualização do Popcorn Time.
Para o time técnico
- CVE
- CVE-2026-30612
- Afetados
- Time4Popcorn (fork do Popcorn Time) para Windows, macOS e Android · Todas as versões do Time4Popcorn (distribuído como Popcorn Time) para Windows, macOS e Android; projeto abandonado, sem versão corrigida.
- Exploração
- Nenhuma exploração na natureza relatada nas fontes. A Eye Security criou prova de conceito que executa calc.exe via JavaScript, confirmando o risco. Os domínios do atualizador seguem sinkholados pela Shadowserver Foundation.
- Correção
- Sem correção do fabricante. A Eye Security enviou atualização que desativa o atualizador: no Windows, para e desabilita o serviço pelo Service Control Manager, sem apagar arquivos; no macOS, um script shell impede a inicialização do processo de atualização. Cerca de 2 milhões de sistemas receberam a correção até março de 2026, com queda de 98% nas requisições. No Android, o atualizador faz parte do aplicativo, exige interação do usuário e não pode ser desativado de forma independente. Mitigação manual: desativar o atualizador e desinstalar o aplicativo por completo.
- Vetor
- Mecanismo de atualização do Time4Popcorn: roda em segundo plano na inicialização do sistema, consulta periodicamente os domínios de atualização por HTTP sem criptografia, sem assinatura de código, e baixa e executa qualquer executável fornecido, com privilégios de System/root. Explorável pelo registro de um domínio abandonado ou por ataque man-in-the-middle.
- Mais detalhes
- Operação 'IXIM' da Eye Security iniciada em novembro de 2025; a empresa registrou 15 domínios abandonados, entre eles popcorntimeupd.xyz. Em março de 2026 parou de enviar a atualização e transferiu os domínios à Shadowserver Foundation, que também sinkholou domínios abandonados de onde o aplicativo carregava JavaScript. A atualização chegou a ser sinalizada como malware após upload no VirusTotal e precisou ser ajustada. O aplicativo usa um Chrome de 2014 sem sandbox. Estimativas de sistemas: 2,5 a 3 milhões Windows, 250.000 a 350.000 macOS, menos de 200.000 Android.
Indicadores (IoCs)
- popcorntimeupd.xyz
Linha do tempo
SecurityWeek detalha o mecanismo: o atualizador roda na inicialização do sistema e consulta periodicamente o domínio de atualização para executar qualquer código servido, com privilégios totais.
Incidente aberto.
Fontes 5 fontes
- Operation IXIM: Preventing a botnet of millions of Popcorn Time users Eye Security
- CVE-2026-30612: A vulnerability in Time4Popcorn (PopcornTime) Eye Security
- Researchers Push Over 2 Million Updates to Remotely Disable Popcorn Time Updater That Could Fuel a Botnet The Hacker News
- Abandoned Popcorn Time app exposed millions of devices to RCE attacks BleepingComputer
- Abandoned Popcorn Time apps had to be disabled to prevent a zombie army The Verge
