Time4Popcorn CVE-2026-30612: Domeniile de actualizare abandonate permit executarea de cod cu privilegii SYSTEM sau root

Eye Security a dezvăluit CVE-2026-30612, o vulnerabilitate de severitate ridicată în lanțul de aprovizionare al aplicației abandonate Time4Popcorn, ale cărei mecanisme de actualizare automată pot fi exploatate pentru a rula cod controlat de atacator cu privilegii ridicate. Pe Windows și macOS, un atacator care controlează domeniul de actualizare sau poate modifica traficul de rețea poate redirecționa updater-ul către un executabil malițios. Problema poate afecta instalări ale căror utilizatori nu mai folosesc activ aplicația, deoarece actualizările rulează în fundal. Cum nu există un furnizor care să ofere un patch, Eye Security recomandă dezinstalarea completă pentru eliminarea acestei expuneri.

Updater-ul Windows, Updater.exe, și cel macOS, PT.updd, contactează domeniile de actualizare prin HTTP necriptat și execută fișierele descărcate fără să le verifice semnătura. Exploatarea reușită poate permite executarea de cod cu privilegii SYSTEM pe Windows sau root pe macOS, deschizând calea către furtul de credențiale, includerea într-un botnet sau instalarea de ransomware. Calea de actualizare Android este diferită: verificările au loc când utilizatorul lansează aplicația, iar instalarea unui APK necesită interacțiunea sa; cercetătorii nu au distribuit o actualizare pentru dezactivarea updater-ului Android. Eye Security a distribuit cod care dezactivează actualizările pe Windows și macOS și a raportat peste două milioane de descărcări de actualizări, însă cifra nu indică numărul de dispozitive unice sau de compromiteri.

Dezvăluirea evidențiază riscurile pe termen lung ale software-ului abandonat, atunci când infrastructura sa privilegiată de actualizare rămâne activă fără protecția transportului și autentificarea pachetelor. Administratorii pot investiga traficul HTTP către domeniile de actualizare, procesele updater-elor, descărcările și procesele copil cu privilegii ridicate, fără să considere o singură urmă drept dovadă a compromiterii. Unele domenii au fost transferate către Shadowserver, iar reducerea solicitărilor către domeniile gestionate de companie nu demonstrează că toate instalările sunt sigure. Utilizatorii și organizațiile ar trebui să dezinstaleze aplicația și să verifice dacă au rămas servicii, launch daemons sau fișiere, deoarece simpla dezactivare a actualizărilor nu rezolvă celelalte riscuri ale aplicației învechite.