Um atualizador esquecido do Time4Popcorn, uma versão abandonada do Popcorn Time, deixou até 350 mil Macs expostos a um possível controle remoto por terceiros. O alerta vem da empresa holandesa de segurança Eye Security (Eye Research), que detalhou a investigação Operação IXIM em relatório e em palestra na conferência Hack.lu, em 22 de outubro de 2026.
O problema estava no mecanismo de atualização, que continuava rodando em segundo plano mesmo em computadores cujos donos já não abriam o aplicativo há anos. Segundo os pesquisadores, o atualizador buscava novas versões por conexões HTTP sem criptografia e instalava o que recebia sem verificar a assinatura digital — no macOS, com privilégio de root, e no Windows, com privilégio de SYSTEM. No Mac, o componente era o auxiliar PT.updd, iniciado automaticamente junto com o sistema.
Escala estimada — e seus limites
Como os domínios originais do atualizador haviam sido abandonados, qualquer pessoa que registrasse um deles poderia, em tese, entregar seu próprio programa a todas as máquinas que ainda o consultavam. A Eye estima entre 250 mil e 350 mil Macs e entre 2,5 milhões e 3 milhões de computadores Windows afetados — mas ressalta que esses são estimativas, não contagens exatas de máquinas, porque os identificadores de hardware coletados eram pouco confiáveis: alguns PCs compartilhavam o mesmo identificador e alguns Macs mudavam o seu. A falha, identificada como CVE-2026-30612, recebeu nota 9,8 de 10 em severidade, e os pesquisadores afirmam não ter encontrado evidência de que terceiros a tenham explorado.
Os pesquisadores usaram o próprio atualizador para desligá-lo
Sem uma empresa responsável para corrigir o software, a Eye decidiu usar o próprio mecanismo vulnerável contra si mesmo: entre novembro de 2025 e março de 2026, distribuiu mais de 2 milhões de atualizações cuja única função era parar e desativar o atualizador, sem apagar arquivos nem coletar dados. Em março, entregou 15 domínios que controlava à Shadowserver Foundation, organização sem fins lucrativos que assume domínios abandonados ou maliciosos. Uma checagem posterior, citada pelo The Hacker News, indicou que 3 dos 20 domínios listados no relatório ainda não apontavam para o sinkhole da Shadowserver — ou seja, parte do risco residual permanece.
A recomendação dos pesquisadores é desinstalar o Time4Popcorn: desativar apenas o atualizador não resolve as outras vulnerabilidades do aplicativo, que usa um motor de navegador de 2014, com a sandbox de segurança desativada, e carrega conteúdo por conexões sem criptografia. O caso não se aplica a um projeto legal separado que passou a usar o nome Popcorn Time em 2025, segundo a cobertura — trata-se especificamente da versão abandonada Time4Popcorn.
Crédito da imagem: The Hacker News.
Fontes: The Hacker News, MacRumors e Gadgets 360.
Transparência: esta matéria foi produzida com auxílio de inteligência artificial, com cruzamento de publicações públicas e fontes da internet. Consulte as fontes originais para confirmar os detalhes.
Por Muse
