برنامه رها شده Popcorn Time میلیون ها دستگاه را در معرض حملات RCE قرار داد

محققان از راه دور یک به‌روزرسانی آسیب‌پذیر را در برنامه متروکه Time4Popcorn غیرفعال کردند که یک فورک از سرویس گیرنده Popcorn Time BitTorrent بود و یک نقص امنیتی را که می‌توانست به مهاجمان اجازه دهد کد مخرب را با امتیازات بالا بر روی میلیون‌ها رایانه اجرا کند، بسته شد.

این آسیب‌پذیری که به‌عنوان CVE-2026-30612 ردیابی می‌شود، بر روی به‌روزرسانی‌کنندگان ویندوز و macOS تأثیر می‌گذارد که با دامنه متروکه برنامه (popcorntimeupd.xyz) از طریق HTTP رمزگذاری‌نشده و فایل‌های اجرایی پذیرفته‌شده بدون تأیید امضای دیجیتال تماس گرفتند.

هر کسی که دامنه به‌روزرسانی را کنترل می‌کند می‌تواند ترافیک HTTP را دستکاری کند و کد را به‌عنوان SYSTEM در ویندوز و به‌عنوان روت در macOS اجرا کند.

برنامه Popcorn Time دارای یک رابط کاربری به سبک Netflix بود که دانلودهای BitTorrent را یکپارچه می کرد و به کاربران اجازه می داد محتوای غیرقانونی را مستقیما در داخل برنامه مصرف کنند.

این پروژه به دلایل قانونی کنار گذاشته شد، اما بعدا به عنوان یک برنامه پخش محتوای قانونی راه اندازی شد. با این حال، فورک هایی مانند Time4Popcorn با نام Popcorn Time ظهور کردند و به سرعت میلیون ها کاربر را به خود جذب کردند.

محققان Eye Security پس از ثبت دامنه popcorntimeupd.xyz خطر امنیتی را کشف کردند و تا 3 میلیون ویندوز و 350000 اتصال کلاینت macOS به Time4Popcorn را مشاهده کردند.

اتصالات از طریق ISP های مسکونی و شبکه های شرکتی، دولتی و نظامی انجام شد. با این حال، به نظر می‌رسد که هیچ یک از کاربران به طور فعال از این برنامه استفاده نمی‌کنند، که نشان می‌دهد این برنامه نصب شده و فراموش شده است.

Eye Securit خاطرنشان می‌کند: «اگر می‌توانستیم به‌روزرسانی ارسال کنیم، به طور بالقوه می‌توانیم اجرای کد را روی میلیون‌ها سیستم دریافت کنیم،» و اضافه می‌کند که «اگر این به دست اشتباه بیفتد، تأثیر شدید خواهد بود.»

پس از این کشف، محققان 14 دامنه دیگر مرتبط با این سرویس را ثبت کردند.

بین نوامبر 2025 و مارس 2026، Eye از مکانیسم به‌روزرسانی آسیب‌پذیر برای ارائه کد اصلاحی استفاده کرد که به‌روزرسانی‌کننده را متوقف و غیرفعال کرد.

محموله آنها هیچ داده میزبان یا تله متری را جمع آوری نکرد و هیچ فایلی را در رایانه های کاربران حذف نکرد و اقدامات آنها را در یک زمینه کاملا قانونی نگه داشت.

Eye توضیح می‌دهد که مجبور شده بود بار خود را در طول آزمایش تغییر دهد تا از محصولات آنتی‌ویروسی که آن را به دلیل غیرفعال کردن یک سرویس پرچم‌گذاری می‌کردند، فرار کند.

پس از استقرار اصلاح، Eye 2 میلیون بار دانلود به‌روزرسانی ثبت کرد و تا اول مارس امسال، درخواست‌ها برای دامنه به‌روزرسانی آن 98 درصد کاهش یافت.

پس از اتمام موفقیت آمیز عملیات اصلاح، مالکیت دامنه به سازمان امنیتی غیرانتفاعی The Shadowserver Foundation واگذار شد.

با وجود این موفقیت، محققان هشدار دادند که خطر به طور کامل برای کاربران برنامه حذف نشده است.

اولا، کاربران اندروید در معرض خطر قرار می‌گیرند زیرا نصب به‌روزرسانی نیاز به تعامل کاربر دارد و محققان نمی‌توانند به‌روزرسانی را از راه دور برای پلتفرم تلفن همراه غیرفعال کنند.

دوم، برنامه Time4Popcorn از یک موتور کروم به شدت قدیمی از سال 2014 استفاده می‌کند، بدون هیچ گونه حفاظتی در جعبه‌های ماسه‌بازی، که می‌تواند در حملات مورد سوء استفاده قرار گیرد.

بهترین اقدام برای کاربران این است که نرم افزار را به طور کامل از سیستم خود حذف کنند.

نمرات کلی پیشگیری می تواند اتفاقات پس از دسترسی اولیه را پنهان کند. هنگامی که مهاجمان از اعتبارنامه های معتبر استفاده می کنند، پیشگیری به شدت کاهش می یابد.

گزارش آبی 2026 تکنیک دفاعی را با تکنیک در 338 میلیون شبیه سازی اجرا شده در محیط های تولید مشتری اندازه گیری می کند.

آدرس‌های ایمیل پروژه GitLab افشا شده به مهاجمان اجازه می‌دهد کد را فشار دهند