脆弱性の詳細
Eye Security社の研究者は、有名なファイル共有ソフト「Popcorn Time」の派生版であるTime4Popcornにおいて、CVE-2026-30612というコードネームの深刻な脆弱性を発見した。問題はアプリの更新メカニズムにあり、暗号化されていないHTTPプロトコルを介して放棄されたドメイン（popcorntimeupd.xyz）に接続し、デジタル署名の検証なしに実行ファイルを受け入れていた。
この欠陥により、当該ドメインを制御する者は誰でもトラフィックを操作し、WindowsシステムではSYSTEM権限、macOSシステムではroot権限で悪意のあるコードを実行できる状態にあり、数百万台のデバイスが直接的な危険にさらされていた。
処理と無力化のプロセス
リスクを発見した後、Eye Security社は当該の放棄されたドメインと、サービスに関連する他の14のドメインを登録した。2025年11月から2026年3月にかけて、研究者は同じ更新メカニズムを利用して「修正」コードを送信し、ユーザーのアプリ内の更新ツールを停止・無効化した。研究者は、このプロセスにおいて個人データやファイルは一切収集されず、脆弱性を塞ぐことのみを目的としていたと強調している。
今年3月1日までに、更新ドメインへの接続リクエストは98%減少し、その後、ドメインの所有権は保護を継続するために非営利団体The Shadowserver Foundationに移管された。
ユーザーにとっての意味
無力化プロセスは成功したものの、研究者は以下の理由からリスクが完全には消滅していないと警告している：
- Androidユーザー：スマートフォンのアプリ版は依然として危険にさらされている。更新にはユーザーの手動操作が必要であり、研究者はリモートで無効化することができなかった。
- 古いブラウザエンジン：このアプリは2014年当時のChromeエンジンを使用しており、最新の保護技術（サンドボックス）が欠如しているため、悪用の標的になりやすい。
- 忘れられたアプリ：データによると、アプリを実際に使用していなくても数百万台のデバイス（政府や軍のネットワークを含む）がサービスに接続されていた。これは、機密性の高いデバイス上に監視されていない古いソフトウェアが存在していることを意味する。
技術的な推奨事項：安全を確保する唯一の方法は、すべてのシステムからアプリを直ちに完全に削除することである。