Eye Security vypla zraniteľný aktualizátor opusteného Time4Popcornu
Výskumníci z Eye Security cez prevzaté aktualizačné domény vzdialene zastavili zraniteľný aktualizátor aplikácie Time4Popcorn. Kritická chyba mohla na Windows a macOS viesť k spusteniu kódu s vysokými oprávneniami.
Bezpečnostná firma Eye Security zverejnila operáciu IXIM, v rámci ktorej na zariadeniach so starou aplikáciou Time4Popcorn vzdialene vypla zraniteľný Time4Popcorn aktualizátor. Chyba evidovaná ako CVE-2026-30612 sa týka opusteného klienta pre Windows, macOS a Android. Firma odporúča aplikáciu úplne odinštalovať, keďže pre ňu nie je dostupná štandardná dodávateľská oprava.
Podľa Eye Security aktualizátor komunikoval cez nezabezpečený kanál. Na Windows a macOS mohol bez zásahu používateľa spustiť dodaný kód s právami SYSTEM, respektíve root. Zraniteľnosť má hodnotenie CVSS 9.8, teda kritickú závažnosť.
Time4Popcorn aktualizátor a dotknuté verzie
CVE-2026-30612 postihuje Time4Popcorn pre Windows do verzie 6.2.1.18, pre macOS do verzie 6.2.1.17 a pre Android do verzie 3.5.0.173. Riziko sa týka najmä starých inštalácií, ktoré mohli zostať v osobných počítačoch alebo v podnikových inventároch aj po tom, ako bol projekt opustený.
Pri Windows a macOS predstavoval problém automatický mechanizmus aktualizácie: komunikácia bez dostatočného zabezpečenia vytvárala cestu, cez ktorú mohol byť doručený a s vysokými oprávneniami vykonaný kód. Na Androide je podľa dostupných informácií na vykonanie dodaného obsahu potrebná interakcia používateľa.
Viac než dva milióny vypínacích aktualizácií
Eye Security uvádza, že od novembra 2025 do marca 2026 doručila viac než dva milióny aktualizácií. Tie zastavili a zakázali aktualizátor na zariadeniach, ktoré komunikovali s doménami prevzatými firmou. Ide o zásah do aktualizačnej infraštruktúry opustenej aplikácie, nie o bežnú opravu vydanú pôvodným dodávateľom.
Počet zariadení však nie je nezávisle potvrdeným inventárom unikátnych strojov. Odhad vychádza z telemetrie a identifikátorov, ktoré firma pozorovala. Navyše nie všetky inštalácie museli dostať vypínaciu aktualizáciu: časť aktualizačných domén nebola pod kontrolou Eye Security a pri Androide zásah vyžaduje interakciu používateľa.
Vypnutie nie je náhradou za odinštalovanie
Vzdialené vypnutie aktualizátora neodstraňuje ostatné bezpečnostné riziká Time4Popcornu. Eye Security upozorňuje na zastarané komponenty aplikácie aj na nešifrované načítavanie obsahu. Používateľom preto odporúča klienta odstrániť, nie spoliehať sa iba na deaktivovaný aktualizačný mechanizmus.
Organizácie, ktoré hľadajú zvyšné inštalácie, môžu podľa zverejnených zistení kontrolovať artefakty Updater.exe, službu Update Service a macOS komponent PT.updd. Samotná prítomnosť týchto položiek je relevantná najmä pri starších zariadeniach, na ktorých sa aplikácia mohla zachovať mimo štandardne spravovaného softvéru.
V dostupných informáciách nie je potvrdené, že by CVE-2026-30612 pred zásahom Eye Security útočníci využili pri reálnych útokoch. Verejne popísaná je závažnosť chyby a dôkaz konceptu. Ďalší vývoj môže ukázať, či zraniteľnosť zaradia CISA alebo iné autority medzi aktívne zneužívané chyby, či sa objavia dôkazy o skoršom zneužití a aké pokrytie zostalo pri neprevzatých doménach a androidových zariadeniach.
Time4Popcorn treba zároveň odlíšiť od novšieho legálneho projektu, ktorý používa názov Popcorn Time. Zverejnená zraniteľnosť a operácia IXIM sa týkajú konkrétne opusteného klienta Time4Popcorn.
Zdroje
- Eye Security – Primárne potvrdzuje zraniteľný aktualizátor, dotknuté platformy, privilegované spúšťanie kódu, absenciu opravy a odporúčanie na odinštalovanie.
- BleepingComputer – Koroboruje zverejnenie operácie, viac než 2 milióny doručených vypínacích aktualizácií, rozsah odhadnutých pripojení a pretrvávajúce riziká.
- The Hacker News – Koroboruje časový priebeh operácie IXIM, odovzdanie domén Shadowserver Foundation a absenciu verejne potvrdeného zneužitia.
Overené a aktualizované: 24. 10. 2026 15:21
