Time4Popcorn: actualizador abandonado con RCE, ya desactivado

Los investigadores de Eye Security han desactivado a distancia el mecanismo de actualización de Time4Popcorn, un fork abandonado del cliente BitTorrent Popcorn Time distribuido con el mismo nombre. El componente, todavía activo en millones de ordenadores, permitía a quien controlara el dominio de actualizaciones ejecutar código con los máximos privilegios del sistema. La vulnerabilidad se identifica como CVE-2026-30612. La noticia la publicaron BleepingComputer (23 de octubre de 2026), The Hacker News (24 de octubre) y SecurityWeek (27 de octubre), todos a partir de la investigación de Eye Security.

Es un caso de manual: no hay fabricante al que pedir un parche, el software se instaló y se olvidó, y la corrección la distribuyeron los investigadores aprovechando el mismo fallo.

El fallo: actualizaciones por HTTP sin firma

Según BleepingComputer y SecurityWeek, el actualizador de Time4Popcorn para Windows y macOS:

• arranca en segundo plano al iniciar el sistema (SecurityWeek);
• contacta con sus dominios por HTTP sin cifrar, entre ellos popcorntimeupd.xyz;
• descarga y ejecuta cualquier ejecutable que reciba, sin verificar la firma digital;
• lo ejecuta como SYSTEM en Windows y como root en macOS.

Muchos dominios de actualización se habían dejado caducar y otros pertenecían a terceros y estaban aparcados (SecurityWeek). Quien registrara uno de esos dominios, o pudiera manipular el tráfico HTTP en el camino, podía entregar una «actualización» arbitraria y conseguir ejecución remota de código con privilegios máximos. El titular de The Hacker News apunta al riesgo concreto: un parque tan grande de máquinas controlables desde un único punto es material ideal para una botnet.

Técnicas MITRE ATT&CK pertinentes (clasificación nuestra): T1583.001 (adquisición de dominios, aquí abandonados), T1557 (adversary-in-the-middle sobre el tráfico HTTP) y T1195.002 (compromiso de la distribución del software).

Cuántos sistemas estaban expuestos

Tras registrar popcorntimeupd.xyz, Eye Security vio conectarse a millones de clientes. Las cifras publicadas:

• Windows: hasta 3 millones (BleepingComputer), entre 2,5 y 3 millones (SecurityWeek);
• macOS: hasta 350.000, o entre 250.000 y 350.000;
• Android: menos de 200.000 (solo SecurityWeek).

Las conexiones llegaban sobre todo de proveedores residenciales, pero también de redes corporativas, gubernamentales y militares de todo el mundo. Según BleepingComputer, ninguno de los usuarios parecía usar realmente la aplicación: señal de que se había instalado y luego olvidado.

Cómo se apagó el actualizador

Como el proyecto ya no tiene responsable, Eye Security registró otros dominios vinculados al servicio: 14 además del primero según BleepingComputer, 15 en total según SecurityWeek, eligiendo solo los que no eran ya propiedad de terceros. Entre noviembre de 2025 y marzo de 2026 usó el mismo canal vulnerable para distribuir un código de saneamiento que detiene y desactiva el actualizador:

• unos 2 millones de descargas de la actualización;
• peticiones a los dominios reducidas un 98 % en marzo de 2026;
• según BleepingComputer, ningún dato recogido de las máquinas, ninguna telemetría, ningún archivo borrado; el código se modificó durante las pruebas porque algunos antivirus lo bloqueaban por desactivar un servicio.

A finales de marzo los dominios pasaron a la Shadowserver Foundation, que los mantiene en sinkhole junto con otros dominios abandonados desde los que la aplicación cargaba código JavaScript (SecurityWeek).

El riesgo que queda

La operación solo apagó el actualizador. Siguen abiertos estos puntos:

1. Android: la actualización requiere la intervención del usuario y el actualizador forma parte de la app, así que no se pudo desactivar a distancia.
2. Motor de navegador de 2014: la aplicación se basa en una versión de Chrome de 2014, sin sandbox. Según SecurityWeek, Eye Security ya tiene una prueba de concepto que abre calc.exe mediante JavaScript.
3. Dominios JavaScript: hoy están en sinkhole, pero la aplicación sigue diseñada para cargar código desde dominios que el proyecto ya no controla.

El consejo de Eye Security, recogido por ambos medios, es uno solo: desinstalar la aplicación.

Impacto para las empresas europeas e italianas

Las fuentes no dan datos por país, pero confirman que parte de las instalaciones están en redes corporativas. El problema típico es el shadow IT: software instalado por un usuario hace años, nunca inventariado, con un componente que funciona con privilegios de sistema. Para las entidades sujetas a NIS2 el caso afecta directamente a la gestión de activos y vulnerabilidades y al control del software autorizado. En sanidad y en la administración pública conviene revisar primero los puestos compartidos y los dispositivos personales que acceden a la red interna.

Qué hacer ahora

1. Busca el software: en el inventario de equipos Windows y macOS busca «Popcorn Time» y «Time4Popcorn», incluidos servicios y procesos que arrancan con el sistema.
2. Desinstálalo, no te limites a desactivar el actualizador: el motor del navegador sin sandbox sigue siendo explotable.
3. Revisa los registros DNS y del proxy en busca de peticiones a popcorntimeupd.xyz y, en general, a dominios vinculados a Popcorn Time: indican una máquina con la aplicación todavía instalada. Bloquea esos dominios en el perímetro.
4. Android y BYOD: comprueba con la gestión de dispositivos móviles si la app está presente y elimínala; aquí el actualizador sigue activo.
5. Prevén: usa el control de aplicaciones o listas de software permitido para impedir la instalación de programas no aprobados.
6. Amplía la revisión: busca otros programas que se actualicen por HTTP sin firma o que dependan de dominios caducados; el mismo esquema va mucho más allá de Popcorn Time.

Cómo ayuda ARXDOME

ARX Sentry recoge de los ordenadores Windows y macOS el inventario de software, procesos y puertos: ayuda a encontrar las máquinas donde Popcorn Time sigue instalado. ARX Shield muestra las vulnerabilidades abiertas por máquina y, si un puesto es sospechoso, lo aísla de la red hasta su verificación.

Última actualización: 27 de octubre de 2026