Terk edilmiş Popcorn Time sürümünün güncelleyicisi milyonlarca bilgisayarı uzaktan ele geçirmeye açık bırakmıştı

Bir dönem BitTorrent üzerinden film ve dizi izlemeyi Netflix benzeri bir arayüzle sunan Popcorn Time’ın çatallarından Time4Popcorn’da, milyonlarca bilgisayarı uzaktan ele geçirmeye açık bırakan bir güncelleme açığı vardı. BleepingComputer’ın 23 Ekim’de aktardığı çalışmada Eye Security araştırmacıları, 22 Ekim’de yayımladıkları yazıda açığı nasıl bulup güncelleyicileri uzaktan devre dışı bıraktıklarını anlattı.

Açık

CVE-2026-30612 numarasıyla izlenen açık, Time4Popcorn’un Windows ve macOS güncelleyicilerinde. Güncelleyiciler, aralarında popcorntimeupd.xyz’nin de bulunduğu sahipsiz alan adlarına şifresiz HTTP ile bağlanıyor ve gelen çalıştırılabilir dosyaları dijital imzalarını doğrulamadan kabul ediyordu. Bu yüzden alan adını kontrol eden ya da HTTP trafiğini değiştirebilen biri, Windows’ta SYSTEM, macOS’ta root yetkisiyle kod çalıştırabilirdi.

Eye Security’ye göre orijinal Popcorn Time 2014’te kapatıldı, 2025 başından beri ise aynı adı kullanan ayrı bir proje yasal bir alternatif geliştiriyor. Bu arada Popcorn Time adını kullanan Time4Popcorn gibi çatallar milyonlarca kullanıcıya ulaştı.

Araştırmacıların müdahalesi

Eye Security, popcorntimeupd.xyz alan adını kayıt ettirdikten sonra hizmetle ilgili 14 alan adını daha kayıt ettirdi. Şirketin tahminine göre bu alan adlarına bağlanan sistemlerin yaklaşık 2,5-3 milyonu Windows, 250-350 bini macOS. Bağlantılar ev internet sağlayıcılarının yanı sıra şirket, devlet ve askeri ağlardan da geliyordu. Eye’ın kendi müşterilerinde uygulamayı aktif olarak kullanan kimse yoktu, uygulama kurulup unutulmuştu.

Kasım 2025 ile Mart 2026 arasında Eye, açık içeren güncelleme mekanizmasını kullanarak güncelleyiciyi durdurup devre dışı bırakan bir düzeltme kodu dağıttı. Şirkete göre bu kod bilgisayarlardan hiçbir veri toplamadı ve hiçbir dosyayı silmedi. Düzeltme kodu 2 milyondan fazla kez indirildi ve 1 Mart’a kadar güncelleme alan adına gelen istekler yüzde 98 azaldı. Çalışma tamamlandıktan sonra alan adlarının sahipliği kâr amacı gütmeyen güvenlik kuruluşu Shadowserver Foundation’a devredildi.

Kalan riskler

Araştırmacılara göre risk tamamen ortadan kalkmış değil. Android’de güncelleme kurmak kullanıcı onayı gerektirdiği için araştırmacılar Android sürümüne düzeltme dağıtmadı. Ayrıca Time4Popcorn, 2014’ten kalma ve korumalı alan (sandbox) koruması olmayan çok eski bir Chrome motoru kullanıyor. Bu da saldırılarda kullanılabilir. Araştırmacılar, uygulamanın sistemlerden tamamen kaldırılmasını öneriyor.