Kaj se je zgodilo
Popcorn Time je bila nekoč priljubljena aplikacija, ki je pretakanje filmov in serij prek BitTorrenta zapakirala v vmesnik, podoben Netflixu. Izvirni razvijalci so jo zaradi skrbi glede kršitev avtorskih pravic opustili kmalu po izidu leta 2014, a ker je bila izvorna koda javno dostopna, so nastale številne neuradne različice (forki). Ena izmed njih je bila Time4Popcorn, ki se je prav tako distribuirala pod imenom »Popcorn Time«.
Po navedbah Malwarebytes Labs je v ozadju te aplikacije tiho deloval posodobitveni mehanizem, ki je ostal aktiven tudi, če uporabnik aplikacije ni odprl že vrsto let. Varnostni raziskovalci podjetja Eye Security so ugotovili, da bi ta mehanizem napadalcu omogočil prevzem nadzora nad računalniki Windows in Mac. Po njihovih ocenah je bil ranljivi posodobitveni mehanizem prisoten na milijonih naprav po svetu, in sicer na približno 2,5 do 3 milijonih računalnikov Windows ter okoli 250.000 do 350.000 napravah Mac.
Po poročanju The Hacker News je Eye Security med novembrom 2025 in marcem 2026 na te naprave poslal več kot 2 milijona posodobitev, da bi na daljavo onesposobil sporni posodobitveni mehanizem, ne da bi bil lastnik teh naprav.
Ranljivost je uradno evidentirana kot CVE-2026-30612. Po podatkih NVD gre za težavo v Time4Popcorn za Windows različice 6.2.1.18 in starejše, Time4Popcorn za MacOS različice 6.2.1.17 in starejše ter Time4Popcorn za Android različice 3.5.0.173 in starejše, ki oddaljenemu napadalcu omogoča izvajanje poljubne kode prek komponent updater.exe na Windows oziroma PT.updd na MacOS. NVD je ranljivosti dodelil oceno CVSS 3.1 9,8, kar jo uvršča med kritične.
Kaj to pomeni za slovenska in evropska podjetja
Čeprav gre za aplikacijo, ki se je primarno uporabljala za zasebne namene, ranljivost kaže na širši problem: zapuščena programska oprema s samodejnimi posodobitvenimi mehanizmi lahko leta ostaja aktivna v ozadju, ne da bi se tega uporabnik zavedal. Za podjetja je ključno sporočilo, da lahko taka tiha ogrodja na delovnih postajah zaposlenih (zlasti na osebnih napravah, ki se uporabljajo tudi za delo) predstavljajo vstopno točko za oddaljeno izvajanje kode in morebitno vključitev v botnet.
Priporočeni ukrepi
- Preverite, ali so na napravah v vašem okolju nameščene različice Time4Popcorn za Windows do vključno 6.2.1.18, za MacOS do vključno 6.2.1.17 ali za Android do vključno 3.5.0.173, in jih odstranite.
- Spremljajte morebitna obvestila Eye Security glede obsega in nadaljnjih korakov pri onesposabljanju posodobitvenega mehanizma.
- V podjetjih uveljavite politiko rednega popisa nameščene programske opreme na napravah zaposlenih, da se prepreči dolgoročno tiho delovanje zapuščenih aplikacij.
- Omejite nameščanje neuradnih ali neznanih aplikacij, zlasti forkov odprtokodnih projektov z nejasnim vzdrževanjem.
Vprašanja in odgovori
Je bila ranljivost aktivno izkoriščana? Glede na razpoložljive vire ni podatka, da bi bila ranljivost CVE-2026-30612 potrjeno aktivno izkoriščana. Eye Security je posodobitveni mehanizem onesposobil preventivno.
Ali je ranljivost v katalogu CISA KEV? Ne, glede na strukturirane varnostne podatke ranljivost ni uvrščena v katalog CISA KEV.
Pogosta vprašanja
Kaj je CVE-2026-30612?
Gre za kritično ranljivost v posodobitvenem mehanizmu Time4Popcorn, ki oddaljenemu napadalcu omogoča izvajanje poljubne kode na prizadetih napravah Windows, MacOS in Android.
Katere različice so prizadete?
Prizadete so Time4Popcorn za Windows do različice 6.2.1.18, za MacOS do različice 6.2.1.17 in za Android do različice 3.5.0.173.
Kdo je odpravil težavo?
Nizozemsko varnostno podjetje Eye Security je med novembrom 2025 in marcem 2026 na daljavo onesposobilo ranljivi posodobitveni mehanizem na milijonih naprav.
Sorodne objave
- GraphQL-core: ranljivost DoS v validacijskem pravilu OverlappingFieldsCanBeMerged
- Pegasus vohunska programska oprema potrjena na iPhonu rektorja beograjske univerze tik pred volitvami v Srbiji
- Zlonamerna programska oprema PEERSTITCH izkorišča ranljivost v FortiOS za zaobidenje preverjanja VPN-sej
Viri
- Malwarebytes Labs
- The Hacker News
- BleepingComputer
- NVD
- Abandoned Popcorn Time app exposed millions of device to RCE attacks