Güvenlik açığının detayları
Eye Security şirketindeki araştırmacılar, popüler dosya paylaşım programı Popcorn Time'ın türevi olan Time4Popcorn uygulamasında CVE-2026-30612 kodlu kritik bir güvenlik açığı ortaya çıkardı. Sorun, uygulamanın şifrelenmemiş HTTP protokolü üzerinden terk edilmiş bir alan adına (popcorntimeupd.xyz) bağlanan ve dijital imzalarını doğrulamadan yürütülebilir dosyaları kabul eden güncelleme mekanizmasında yatıyordu.
Bu kusur, söz konusu alan adını kontrol eden herhangi bir tarafın veri trafiğini manipüle etmesine ve Windows sistemlerinde SYSTEM, macOS sistemlerinde ise root yetkileriyle kötü amaçlı kod yürütmesine olanak tanıyarak milyonlarca cihazı doğrudan risk altına sokuyordu.
İyileştirme ve etkisiz hale getirme süreci
Risklerin keşfedilmesinin ardından Eye Security, terk edilmiş alan adını ve hizmetle ilişkili diğer 14 alan adını kaydetti. Kasım 2025 ile Mart 2026 arasında araştırmacılar, kullanıcıların cihazlarındaki uygulama güncelleme aracını durduran ve devre dışı bırakan bir "yama" kodu göndermek için aynı güncelleme mekanizmasını kullandılar. Araştırmacılar, bu işlemin herhangi bir kişisel veri veya dosya toplamadığını, yalnızca güvenlik açığını kapatmakla sınırlı olduğunu doğruladı.
Bu yılın 1 Mart tarihi itibarıyla, güncelleme alan adına gelen bağlantı istekleri %98 oranında azaldı ve alan adlarının mülkiyeti, korumanın devamlılığını sağlamak amacıyla daha sonra kâr amacı gütmeyen The Shadowserver Foundation kuruluşuna devredildi.
Bu durum kullanıcılar için ne anlama geliyor?
Etkisiz hale getirme işleminin başarısına rağmen araştırmacılar, riskin birkaç nedenden dolayı tamamen ortadan kalkmadığı konusunda uyarıyor:
- Android kullanıcıları: Akıllı telefonlardaki uygulama sürümleri hala risk altındadır; çünkü güncellemeler kullanıcının manuel etkileşimini gerektirir ve araştırmacılar bunları uzaktan devre dışı bırakamamıştır.
- Eski tarayıcı motoru: Uygulama, 2014 yılından kalma bir Chrome motoru kullanmaktadır ve modern koruma teknolojilerinden (Sandbox) yoksundur, bu da onu istismar için kolay bir hedef haline getirmektedir.
- Unutulmuş uygulamalar: Veriler, uygulama aktif olarak kullanılmasa bile milyonlarca cihazın (hükümet ve askeri ağlar dahil) hizmete bağlı olduğunu, yani hassas cihazlarda denetlenmeyen eski yazılımların bulunduğunu göstermiştir.
Teknik öneri: Güvenliği sağlamanın tek yolu, uygulamayı tüm sistemlerden derhal tamamen kaldırmaktır.