Заброшенный механизм обновления в версии Time4Popcorn приложения Popcorn Time мог поставить под угрозу до 350 000 компьютеров Mac. Уязвимость позволяла злоумышленникам запускать на устройстве произвольный код с правами суперпользователя.
Об угрозе сообщили специалисты исследовательского подразделения компании Eye Security в отчёте, опубликованном 22 октября 2026 года. Проблема затронула Time4Popcorn – оставшуюся без поддержки ветвь популярного BitTorrent-приложения для просмотра видео. Она продолжала распространяться под названием Popcorn Time после закрытия исходного проекта в 2014 году.
Апдейтер продолжал работать без приложения
Расследование началось после того, как исследователи заметили на компьютере клиента под управлением Windows обращение приложения для обновления к заброшенному домену. Специалисты зарегистрировали этот домен и зафиксировали около 50 запросов в секунду от устройств, на которых всё ещё оставалось программное обеспечение.
В macOS уязвимым компонентом был привилегированный вспомогательный процесс PT.updd. Он запускался автоматически при включении компьютера и мог работать независимо от основного приложения, в том числе если владелец Mac давно не открывал Popcorn Time.
Апдейтер связывался с серверами по незашифрованному протоколу HTTP и принимал загружаемый код без проверки цифровой подписи. На Mac этот код выполнялся с правами root – максимальным уровнем доступа к системе. Контроль над одним из заброшенных доменов обновления либо возможность подменить сетевой трафик могли дать атакующему путь к удалённому выполнению команд.
Уязвимости присвоен идентификатор CVE-2026-30612. При этом исследователи не нашли подтверждений того, что злоумышленники уже воспользовались этой возможностью.
Сначала Eye Security зафиксировала около 1,7 млн уникальных идентификаторов Mac. Однако один компьютер мог учитываться несколько раз: идентификатор менялся, например, после смены имени устройства или сетевого оборудования. После корректировки оценка составила от 250 до 350 тысяч Mac. С уязвимой инфраструктурой также связывались, по расчётам компании, от 2,5 до 3 млн ПК под управлением Windows, но эти данные не являются подтверждённым числом отдельных устройств.
Отключение опасного сервиса
Поскольку исходные разработчики проекта исчезли и официального исправления не было, Eye Security решила воспользоваться тем же каналом обновления для защиты пользователей. Компания подготовила небольшое обновление, отключавшее фоновую службу проверки новых версий.
На Mac это обновление останавливало launch daemon, запускающий PT.updd. Само приложение не удалялось: по заявлению исследователей, их решение не должно было затрагивать другие программы и файлы.
Но такой способ вмешательства вызвал юридические и этические вопросы, поскольку код запускался на компьютерах без явного согласия владельцев. В Eye Security рассказали, что проконсультировались с юристами и тщательно протестировали обновление до его массового распространения.
На Windows 11 антивирусные решения первоначально распознали инструмент как вредоносный, поскольку он отключал существующую службу. Исследователям пришлось изменить код, чтобы избежать ложных срабатываний.
К декабрю 2025 года компания отчиталась о доставке обновления более чем на миллион систем. За всё время было загружено свыше 2 млн обновлений, однако это число не означает ни 2 млн уникальных компьютеров, ни подтверждённое успешное исправление на каждом из них.
По состоянию на 1 марта 2026 года Eye Security продолжала отправлять примерно 5 000 обновлений в сутки – на 98% меньше, чем прежде. Затем компания завершила развёртывание и в конце марта передала 15 контролируемых доменов некоммерческой организации Shadowserver Foundation.
Исследователям удалось получить контроль не над всеми доменами, связанными с заброшенной программой. Проведённая операция существенно сократила предполагаемый масштаб угрозы, но не гарантирует, что защитное обновление получили все уязвимые Mac.
Отключение обновлений не устраняет все риски
Специалисты также обнаружили серьёзные проблемы в самом приложении Time4Popcorn, которых экстренное обновление не касалось. Программа использует браузерный движок образца 2014 года с отключённой защитной «песочницей».
Приложение загружает JavaScript по незашифрованным соединениям с доменов, которые прежние разработчики больше не обслуживают. Исследователи показали, что вредоносный JavaScript способен запускать программы в Windows, но аналогичную атаку на macOS они не демонстрировали.
Таким образом, отключение PT.updd устраняет только один из векторов атаки. Устаревшее приложение по-прежнему может подвергать пользователя риску при работе с вредоносным контентом или при подмене сетевого трафика. Выводы исследования относятся именно к старой ветви Time4Popcorn и не касаются отдельного проекта, начавшего использовать название Popcorn Time в 2025 году.
