Détails de la faille de sécurité
Des chercheurs de la société Eye Security ont révélé une faille de sécurité critique, portant le code CVE-2026-30612, dans l'application Time4Popcorn, une version dérivée du célèbre logiciel de partage de fichiers Popcorn Time. Le problème réside dans le mécanisme de mise à jour de l'application, qui se connectait à un domaine abandonné (popcorntimeupd.xyz) via le protocole HTTP non chiffré, tout en acceptant des fichiers exécutables sans vérifier leurs signatures numériques.
Cette faille donnait à toute entité contrôlant le domaine mentionné la capacité de manipuler le trafic de données et d'exécuter du code malveillant avec les privilèges SYSTEM sur les systèmes Windows, et avec les privilèges root sur les systèmes macOS, exposant ainsi des millions d'appareils à un risque direct.
Processus de traitement et de neutralisation
Après avoir découvert les risques, la société Eye Security a enregistré le domaine abandonné ainsi que 14 autres domaines liés au service. Entre novembre 2025 et mars 2026, les chercheurs ont utilisé le même mécanisme de mise à jour pour envoyer un code « correctif » qui a arrêté et désactivé l'outil de mise à jour dans l'application chez les utilisateurs. Les chercheurs ont confirmé que cette opération n'a collecté aucune donnée personnelle ni aucun fichier, se limitant à la fermeture de la faille de sécurité.
Au 1er mars de cette année, les demandes de connexion au domaine de mise à jour avaient diminué de 98 %, et la propriété des domaines a été transférée ultérieurement à la fondation à but non lucratif The Shadowserver Foundation pour garantir la poursuite de leur protection.
Qu'est-ce que cela signifie pour les utilisateurs ?
Malgré le succès de l'opération de neutralisation, les chercheurs avertissent que le risque n'a pas totalement disparu pour plusieurs raisons :
- Utilisateurs d'Android : Les versions de l'application sur smartphones restent exposées, car les mises à jour nécessitent une interaction manuelle de l'utilisateur, et les chercheurs n'ont pas pu les désactiver à distance.
- Moteur de navigateur obsolète : L'application utilise un moteur Chrome datant de 2014, qui manque de technologies de protection modernes (Sandbox), ce qui en fait une cible facile à exploiter.
- Applications oubliées : Les données ont montré que des millions d'appareils (y compris des réseaux gouvernementaux et militaires) étaient connectés au service bien que l'application ne soit pas réellement utilisée, ce qui signifie la présence de logiciels obsolètes non surveillés sur des appareils sensibles.
Recommandation technique : La seule façon de garantir la sécurité est de supprimer immédiatement l'application de tous les systèmes.