Pesquisadores da Eye Security desativaram remotamente o atualizador de um aplicativo abandonado chamado Time4Popcorn, um fork do cliente BitTorrent Popcorn Time. A falha, identificada como CVE-2026-30612, permitia que um invasor executasse código malicioso com privilégios elevados em milhões de computadores.

O problema estava nos atualizadores das versões para Windows e macOS. Eles buscavam atualizações em um domínio abandonado, usando HTTP sem criptografia, e aceitavam arquivos executáveis sem verificar a assinatura digital. Em outras palavras, era como receber uma encomenda de um endereço antigo sem conferir quem a enviou: quem controlasse esse domínio poderia trocar o arquivo e rodar o que quisesse, como SYSTEM no Windows e root no macOS.

O app tinha uma interface parecida com a da Netflix e permitia baixar conteúdo ilegal via BitTorrent. O projeto original foi abandonado por motivos legais, e forks com o nome Popcorn Time se espalharam rapidamente, chegando a milhões de usuários.

Ao registrar o domínio do atualizador, os pesquisadores observaram até 3 milhões de conexões no Windows e 350 mil no macOS, vindas de provedores residenciais e de redes corporativas, governamentais e militares. Quase nenhum usuário parecia usar o app ativamente, o que sugere que ele foi instalado e esquecido.

Entre novembro de 2025 e março de 2026, a empresa usou o mesmo mecanismo para enviar um código de correção que parou e desativou o atualizador, sem coletar dados nem apagar arquivos. Foram registradas 2 milhões de baixas da correção, e em 1º de março as requisições ao domínio caíram 98%. Depois, o domínio foi repassado à organização sem fins lucrativos The Shadowserver Foundation.

O risco, porém, não acabou. Usuários de Android continuam expostos, pois a atualização exige interação do usuário e não foi possível desativar o atualizador remotamente nessa plataforma. Além disso, o app usa um motor do Chrome de 2014, muito desatualizado e sem sandbox, o que pode ser explorado. A recomendação dos pesquisadores é remover o software completamente do computador.