漏洞详情
Eye Security 的研究人员披露了 Time4Popcorn 应用程序中一个编号为 CVE-2026-30612 的严重安全漏洞，该应用是著名文件共享软件 Popcorn Time 的衍生版本。问题在于该应用程序的更新机制，它通过未加密的 HTTP 协议连接到一个已废弃的域名 (popcorntimeupd.xyz)，且在接收可执行文件时未验证其数字签名。
该缺陷使任何控制上述域名的实体都有能力操纵数据流量，并在 Windows 系统上以 SYSTEM 权限、在 macOS 系统上以 root 权限执行恶意代码，从而使数百万台设备处于直接危险之中。
处理与消除过程
在发现风险后，Eye Security 公司注册了该废弃域名以及与该服务相关的其他 14 个域名。在 2025 年 11 月至 2026 年 3 月期间，研究人员利用相同的更新机制发送了“补丁”代码，禁用了用户端应用程序的更新工具。研究人员强调，此操作未收集任何个人数据或文件，仅限于关闭该安全漏洞。
截至今年 3 月 1 日，更新域名的连接请求减少了 98%，这些域名的所有权随后被移交给非营利组织 The Shadowserver Foundation，以确保其持续受到保护。
这对用户意味着什么？
尽管消除行动取得了成功，但研究人员警告称，由于以下原因，风险并未完全消失：
- Android 用户： 智能手机上的应用程序版本仍然面临风险，因为更新需要用户手动交互，研究人员无法远程禁用它们。
- 过时的浏览器引擎： 该应用程序使用 2014 年的 Chrome 引擎，缺乏现代保护技术（沙盒），使其极易受到攻击。
- 被遗忘的应用程序： 数据显示，数百万台设备（包括政府和军事网络）即使在未实际使用该应用程序的情况下仍连接到该服务，这意味着敏感设备上存在无人监管的过时软件。
技术建议： 确保安全的唯一方法是立即从所有系统中彻底卸载该应用程序。