Time4Popcorn: updater abbandonato con RCE spento dai ricercatori

I ricercatori di Eye Security hanno disattivato a distanza il meccanismo di aggiornamento di Time4Popcorn, un fork abbandonato del client BitTorrent Popcorn Time distribuito con lo stesso nome. Il componente, rimasto attivo su milioni di computer, permetteva a chiunque controllasse il dominio degli aggiornamenti di eseguire codice con i privilegi più alti del sistema. La vulnerabilità è tracciata come CVE-2026-30612. La notizia è stata riportata da BleepingComputer (23 ottobre 2026), The Hacker News (24 ottobre) e SecurityWeek (27 ottobre), tutte sulla base della ricerca di Eye Security.

Il caso è esemplare: non c’è un produttore a cui chiedere una patch, il software è stato installato e dimenticato, e la correzione l’hanno distribuita i ricercatori usando la stessa falla.

Il difetto: aggiornamenti via HTTP senza firma

Secondo BleepingComputer e SecurityWeek, l’updater di Time4Popcorn per Windows e macOS:

• parte in background all’avvio del sistema (SecurityWeek);
• contatta i propri domini in HTTP non cifrato, tra cui popcorntimeupd.xyz;
• scarica ed esegue qualunque eseguibile gli venga fornito, senza verificare la firma digitale;
• lo esegue come SYSTEM su Windows e come root su macOS.

Molti domini degli aggiornamenti erano stati lasciati scadere, altri erano di terzi e parcheggiati (SecurityWeek). Chi registrava uno di quei domini, o chi poteva manipolare il traffico HTTP lungo il percorso, poteva quindi consegnare un “aggiornamento” arbitrario e ottenere l’esecuzione di codice remota con privilegi massimi. Il titolo di The Hacker News sottolinea il rischio concreto: un parco così ampio di macchine controllabili da un solo punto è materiale ideale per una botnet.

Tecniche MITRE ATT&CK pertinenti (nostra classificazione): T1583.001 (acquisizione di domini, qui abbandonati), T1557 (adversary-in-the-middle sul traffico HTTP) e T1195.002 (compromissione della distribuzione del software).

Quanti sistemi erano esposti

Dopo aver registrato popcorntimeupd.xyz, Eye Security ha visto collegarsi milioni di client. Le cifre riportate:

• Windows: fino a 3 milioni (BleepingComputer), tra 2,5 e 3 milioni (SecurityWeek);
• macOS: fino a 350.000, ovvero tra 250.000 e 350.000;
• Android: meno di 200.000 (solo SecurityWeek).

Le connessioni arrivavano soprattutto da provider residenziali, ma anche da reti aziendali, governative e militari in tutto il mondo. Secondo BleepingComputer nessuno degli utenti sembrava usare davvero l’applicazione: segno che era stata installata e poi dimenticata.

Come è stato spento l’updater

Visto che il progetto non ha più un responsabile, Eye Security ha registrato altri domini legati al servizio: 14 oltre al primo secondo BleepingComputer, 15 in tutto secondo SecurityWeek, scegliendo solo quelli non già di proprietà di terzi. Tra novembre 2025 e marzo 2026 ha usato lo stesso canale vulnerabile per distribuire un codice di bonifica che ferma e disattiva l’updater:

• circa 2 milioni di download dell’aggiornamento;
• richieste ai domini calate del 98% entro marzo 2026;
• secondo BleepingComputer, nessun dato raccolto dalle macchine, nessuna telemetria, nessun file cancellato; il codice è stato modificato durante le prove perché alcuni antivirus lo bloccavano in quanto disattivava un servizio.

A fine marzo i domini sono passati alla Shadowserver Foundation, che li mantiene in sinkhole insieme ad altri domini abbandonati da cui l’applicazione caricava codice JavaScript (SecurityWeek).

Il rischio che resta

L’intervento ha spento solo l’updater. Restano aperti questi punti:

1. Android: l’aggiornamento richiede l’intervento dell’utente e l’updater fa parte dell’app, quindi non è stato possibile disattivarlo a distanza.
2. Motore del browser del 2014: l’applicazione è costruita su una versione di Chrome del 2014, senza sandbox. Secondo SecurityWeek, Eye Security ha già un proof of concept che avvia calc.exe tramite JavaScript.
3. Domini JavaScript: oggi sono in sinkhole, ma l’applicazione resta costruita per caricare codice da domini che il progetto non controlla più.

La raccomandazione di Eye Security, riportata da entrambe le testate, è una sola: disinstallare l’applicazione.

Impatto per le aziende europee e italiane

Le fonti non danno dati per paese, ma confermano che una parte delle installazioni si trova su reti aziendali. Il problema tipico è lo shadow IT: software installato da un utente anni fa, mai inventariato, con un componente che gira con privilegi di sistema. Per i soggetti NIS2 il caso tocca direttamente la gestione degli asset e delle vulnerabilità e il controllo del software autorizzato. Nella sanità e negli enti pubblici vanno controllate per prime le postazioni condivise e i dispositivi personali che accedono alla rete interna.

Cosa fare subito

1. Cerca il software: nell’inventario delle postazioni Windows e macOS cerca “Popcorn Time” e “Time4Popcorn”, compresi servizi e processi avviati all’accensione.
2. Disinstalla, non limitarti a disattivare l’updater: il motore del browser senza sandbox resta sfruttabile.
3. Controlla i log DNS e del proxy per richieste verso popcorntimeupd.xyz e, in generale, verso domini legati a Popcorn Time: indicano una macchina con l’applicazione ancora installata. Blocca questi domini al perimetro.
4. Android e BYOD: verifica tramite la gestione dei dispositivi mobili se l’app è presente e rimuovila; qui l’updater è ancora attivo.
5. Previeni: usa il controllo delle applicazioni o liste di software consentito per impedire l’installazione di programmi non approvati.
6. Allarga la verifica: cerca altri programmi che si aggiornano in HTTP senza firma o che dipendono da domini scaduti; lo stesso schema vale oltre Popcorn Time.

Come aiuta ARXDOME

ARX Sentry raccoglie da computer Windows e macOS l’inventario di software, processi e porte: aiuta a trovare le macchine dove Popcorn Time è ancora installato. ARX Shield mostra le vulnerabilità aperte per macchina e, se una postazione è sospetta, la isola dalla rete fino alla verifica.

Ultimo aggiornamento: 27 ottobre 2026