被弃用的 Popcorn Time 应用使数百万设备暴露于 RCE 攻击

研究人员远程禁用了被弃用的 Time4Popcorn 应用（Popcorn Time BitTorrent 客户端的一个分支）中一个易受攻击的更新程序，关闭了一个本可允许攻击者在数百万台计算机上以提升权限执行恶意代码的安全缺陷。

该漏洞被追踪为 CVE-2026-30612，影响 Windows 和 macOS 更新程序，它们通过未加密的 HTTP 联系该应用已被弃用的域名（popcorntimeupd.xyz），并在不验证数字签名的情况下接受可执行文件。

任何控制该更新域名的人都可以操纵 HTTP 流量，在 Windows 上以 SYSTEM 权限、在 macOS 上以 root 权限执行代码。

Popcorn Time 应用采用了类似 Netflix 的界面，集成了 BitTorrent 下载，允许用户直接在应用内消费非法内容。

该项目因法律原因被弃用，但后来作为合法内容流媒体应用重新上线。然而，诸如 Time4Popcorn 之类的分支以 Popcorn Time 的名义出现，迅速吸引了数百万用户。

Eye Security 的研究人员在注册 popcorntimeupd.xyz 域名后发现了这一安全风险，并观察到多达 300 万个 Windows 和 35 万个 macOS 客户端连接到 Time4Popcorn。

用户位置

连接来自住宅 ISP 以及企业、政府和军事网络。然而，没有任何用户似乎在积极使用该应用，表明它已被安装后遗忘。

"如果我们能够发送一个更新，我们就可能在数百万个系统上获得代码执行，" Eye Security 指出，并补充道"如果落入不法之手，影响将是严重的。"

在这一发现之后，研究人员注册了与该服务相关的另外 14 个域名。

保护系统

在 2025 年 11 月至 2026 年 3 月期间，Eye 利用该易受攻击的更新机制交付了停止并禁用更新程序的修复代码。

他们的载荷未收集任何主机数据或遥测信息，也未删除用户计算机上的任何文件，将其行动保持在完全合法的范围内。

Eye 解释说，它不得不在测试期间修改其载荷，以躲避因禁用服务而标记它的防病毒产品。

在部署修复后，Eye 记录到 200 万次更新下载，到今年 3 月 1 日，对其更新域名的请求下降了 98%。

在修复行动成功完成后，域名所有权被移交给非营利安全组织 The Shadowserver Foundation。

尽管取得了这一成功，研究人员警告称，该应用用户的风险并未完全消除。

首先，Android 用户仍然暴露，因为安装更新需要用户交互，而研究人员无法为移动平台远程禁用更新程序。

其次，Time4Popcorn 应用使用的是 2014 年严重过时的 Chrome 引擎，没有任何沙箱保护，可能在攻击中被利用。

最佳做法是用户将其系统中的该软件彻底移除。