محققان امنیتی موفق شدند یک نقص امنیتی خطرناک را در اپلیکیشن Time4Popcorn (یکی از نسخه‌های فرعی یا Fork اپلیکیشن Popcorn Time) شناسایی و غیرفعال کنند. این آسیب‌پذیری که می‌توانست به مهاجمان اجازه دهد کدهای مخرب را با بالاترین سطح دسترسی (Elevated Privileges) روی میلیون‌ها کامپیوتر اجرا کنند، اکنون توسط تیم‌های پژوهشی مهار شده است.
جزئیات آسیب‌پذیری CVE-2026-30612
این آسیب‌پذیری که با شناسه CVE-2026-30612 ثبت شده است، بخش آپدیت‌کننده (Updater) در سیستم‌عامل‌های Windows و macOS را هدف قرار می‌دهد. این سرویس برای برقراری ارتباط با دامنه آپدیت (popcorntimeupd.xyz) از پروتکل ناامن HTTP استفاده می‌کرد و فایل‌های اجرایی دریافتی را بدون بررسی امضای دیجیتال (Digital Signature) اجرا می‌نمود.
هرگونه کنترل بر دامنه آپدیت، به مهاجم اجازه می‌داد تا ترافیک HTTP را دستکاری کرده و کد خود را با سطح دسترسی SYSTEM در ویندوز و root در macOS اجرا کند.
مقیاس تهدید و اقدامات اصلاحی
تحقیقات انجام شده توسط تیم Eye Security نشان داد که حدود ۳ میلیون کاربر ویندوز و ۳۵۰ هزار کاربر macOS همچنان از این نسخه آسیب‌پذیر استفاده می‌کنند. نکته قابل توجه این است که بسیاری از این دستگاه‌ها در شبکه‌های سازمانی، دولتی و نظامی قرار داشتند، هرچند به نظر می‌رسد کاربران این اپلیکیشن را نصب کرده و سپس فراموش کرده‌اند.
محققان برای جلوگیری از سوءاستفاده احتمالی، دامنه آپدیت را ثبت کرده و از مکانیزم آسیب‌پذیر برای ارسال کدهای اصلاحی (Remediation Code) استفاده کردند تا فرآیند آپدیت را به‌طور کامل متوقف و غیرفعال کنند. پس از این اقدام، درخواست‌ها به دامنه مذکور ۹۸ درصد کاهش یافت.
ریسک‌های باقی‌مانده و توصیه نهایی
- کاربران اندروید: برخلاف ویندوز و مک، امکان غیرفعال کردن از راه دور آپدیت‌کننده در پلتفرم اندروید وجود ندارد و کاربران همچنان در معرض خطر هستند.
- موتور مرورگر قدیمی: این اپلیکیشن از نسخه بسیار قدیمی موتور Chrome (مربوط به سال ۲۰۱۴) استفاده می‌کند که فاقد قابلیت‌های Sandbox است و خود می‌تواند عامل ورود مهاجمان باشد.
توصیه امنیتی: بهترین اقدام برای تمامی کاربران، حذف کامل این نرم‌افزار از سیستم‌های خود است.