Details zur Sicherheitslücke
Forscher des Unternehmens Eye Security haben eine kritische Sicherheitslücke mit der Kennung CVE-2026-30612 in der App Time4Popcorn aufgedeckt, einer abgeleiteten Version des bekannten Filesharing-Programms Popcorn Time. Das Problem lag im Aktualisierungsmechanismus der Anwendung, der über das unverschlüsselte HTTP-Protokoll eine Verbindung zu einer aufgegebenen Domain (popcorntimeupd.xyz) herstellte und ausführbare Dateien ohne Überprüfung ihrer digitalen Signaturen akzeptierte.
Dieser Fehler gab jeder Partei, die die genannte Domain kontrollierte, die Möglichkeit, den Datenverkehr zu manipulieren und bösartigen Code mit SYSTEM-Rechten unter Windows sowie mit root-Rechten unter macOS auszuführen, wodurch Millionen von Geräten direkten Gefahren ausgesetzt wurden.
Behebungs- und Neutralisierungsprozess
Nach der Entdeckung der Risiken registrierte Eye Security die aufgegebene Domain sowie 14 weitere mit dem Dienst verbundene Domains. Zwischen November 2025 und März 2026 nutzten die Forscher denselben Aktualisierungsmechanismus, um einen „Korrektur“-Code zu senden, der das Aktualisierungstool in der App bei den Benutzern stoppte und deaktivierte. Die Forscher bestätigten, dass dieser Vorgang keine personenbezogenen Daten oder Dateien sammelte, sondern sich darauf beschränkte, die Sicherheitslücke zu schließen.
Bis zum 1. März dieses Jahres sank die Zahl der Verbindungsanfragen zur Update-Domain um 98 %, und das Eigentum an den Domains wurde später an die gemeinnützige Organisation The Shadowserver Foundation übertragen, um deren kontinuierlichen Schutz zu gewährleisten.
Was das für die Benutzer bedeutet
Trotz der erfolgreichen Neutralisierung warnen die Forscher davor, dass die Gefahr aus mehreren Gründen nicht vollständig verschwunden ist:
- Android-Benutzer: Die App-Versionen auf Smartphones sind weiterhin gefährdet, da Updates eine manuelle Interaktion des Benutzers erfordern und die Forscher sie nicht aus der Ferne deaktivieren konnten.
- Veraltete Browser-Engine: Die App verwendet eine Chrome-Engine aus dem Jahr 2014, der moderne Schutztechnologien (Sandbox) fehlen, was sie zu einem einfachen Ziel für Angriffe macht.
- Vergessene Anwendungen: Daten zeigten, dass Millionen von Geräten (darunter Regierungs- und Militärnetzwerke) mit dem Dienst verbunden waren, obwohl die App nicht mehr aktiv genutzt wurde, was bedeutet, dass sich unüberwachte, veraltete Software auf sensiblen Geräten befindet.
Technische Empfehlung: Die einzige Möglichkeit, die Sicherheit zu gewährleisten, besteht darin, die App sofort vollständig von allen Systemen zu entfernen.