آسیب‌پذیری CVE-2026-30612 در Time4Popcorn، تهدیدی جدی برای کاربران ویندوز و macOS
پژوهشگران با غیرفعال‌سازی از راه دورِ سازوکار به‌روزرسانی آسیب‌پذیر اپلیکیشن متروکه Time4Popcorn، نسخه‌ای غیررسمی از کلاینت بیت‌تورنت Popcorn Time، یک نقص امنیتی خطرناک را برطرف کردند. این آسیب‌پذیری می‌توانست به مهاجمان اجازه دهد کدهای مخرب را با بالاترین سطح دسترسی روی میلیون‌ها رایانه اجرا کنند.
این آسیب‌پذیری که با شناسه CVE-2026-30612 ردیابی می‌شود، به به‌روزرسان‌های نسخه‌های ویندوز و macOS مربوط است. این به‌روزرسان‌ها از طریق پروتکل HTTP رمزنگاری‌نشده با دامنه متروکه این اپلیکیشن، یعنی popcorntimeupd.xyz، ارتباط برقرار می‌کردند و فایل‌های اجرایی را بدون بررسی امضای دیجیتال می‌پذیرفتند.
هر فردی که کنترل دامنه به‌روزرسانی را در اختیار می‌گرفت، می‌توانست ترافیک HTTP را دست‌کاری کند و کد دلخواه خود را با سطح دسترسی SYSTEM در ویندوز و root در macOS اجرا کند.
اپلیکیشن Popcorn Time از رابط کاربری مشابه نتفلیکس بهره می‌برد و قابلیت دانلود از طریق بیت‌تورنت را با آن ادغام کرده بود. این ویژگی به کاربران اجازه می‌داد محتوای غیرقانونی را مستقیماً در داخل اپلیکیشن تماشا کنند.
این پروژه به دلایل حقوقی متوقف شد، اما بعدها در قالب یک اپلیکیشن قانونی پخش محتوا از سر گرفته شد. با این حال، نسخه‌های غیررسمی و توسعه‌یافته بر پایه Popcorn Time، از جمله Time4Popcorn، با نام این اپلیکیشن منتشر شدند و در مدت کوتاهی میلیون‌ها کاربر را جذب کردند.
پژوهشگران شرکت Eye Security پس از ثبت دامنه popcorntimeupd.xyz به این خطر امنیتی پی بردند. آن‌ها در جریان بررسی‌های خود مشاهده کردند که کلاینت‌های Time4Popcorn تا سقف ۳ میلیون اتصال از سیستم‌های ویندوزی و ۳۵۰ هزار اتصال از دستگاه‌های macOS برقرار کرده‌اند.
این اتصال‌ها از طریق ارائه‌دهندگان اینترنت خانگی و همچنین شبکه‌های سازمانی، دولتی و نظامی برقرار می‌شدند. با این حال، به نظر نمی‌رسید هیچ‌یک از کاربران به‌طور فعال از این اپلیکیشن استفاده کنند. این موضوع نشان می‌داد که نرم‌افزار احتمالاً پیش‌تر روی دستگاه‌ها نصب شده و پس از آن بدون استفاده باقی مانده بود.
Eye Security در گزارش خود توضیح داد: «اگر می‌توانستیم یک به‌روزرسانی ارسال کنیم، به‌طور بالقوه امکان اجرای کد روی میلیون‌ها سیستم را داشتیم.» این شرکت همچنین هشدار داد که «اگر چنین قابلیتی به دست افراد نادرست می‌افتاد، پیامدهای آن بسیار جدی می‌بود.»
پژوهشگران پس از کشف این مشکل، ۱۴ دامنه دیگر مرتبط با این سرویس را نیز ثبت کردند.
ایمن‌سازی سیستم‌ها
Eye Security بین نوامبر ۲۰۲۵ تا مارس ۲۰۲۶ از سازوکار به‌روزرسانی آسیب‌پذیر این اپلیکیشن برای ارسال کدی استفاده کرد که به فرایند اصلاح آسیب‌پذیری کمک می‌کرد. این کد، به‌روزرسان را متوقف و غیرفعال می‌کرد.
محموله ارسالی (Payload) هیچ‌گونه اطلاعاتی از میزبان یا داده‌های تله‌متری جمع‌آوری نمی‌کرد و هیچ فایلی را از رایانه کاربران حذف نمی‌کرد. به گفته این شرکت، اقدامات انجام‌شده در چارچوبی کاملاً قانونی صورت گرفت.
Eye Security توضیح داد که در جریان آزمایش‌ها مجبور شد محموله خود را تغییر دهد تا از شناسایی آن توسط محصولات آنتی‌ویروس جلوگیری کند؛ زیرا این محصولات، کد را به دلیل غیرفعال‌کردن یک سرویس علامت‌گذاری می‌کردند.
پس از استقرار کد اصلاحی، Eye Security در مجموع ۲ میلیون بارگیری به‌روزرسانی را ثبت کرد. همچنین تا اول مارس ۲۰۲۶، تعداد درخواست‌ها به دامنه به‌روزرسانی این سرویس ۹۸ درصد کاهش یافت.
پس از پایان موفقیت‌آمیز عملیات اصلاح آسیب‌پذیری، مالکیت دامنه به سازمان غیرانتفاعی امنیت سایبری The Shadowserver Foundation واگذار شد.
با وجود موفقیت این عملیات، پژوهشگران هشدار دادند که خطر برای کاربران این اپلیکیشن به‌طور کامل برطرف نشده است.
نخست، کاربران اندروید همچنان در معرض خطر قرار دارند؛ زیرا نصب به‌روزرسانی در این پلتفرم به تعامل کاربر نیاز دارد و پژوهشگران نتوانستند به‌روزرسان را از راه دور در نسخه موبایل غیرفعال کنند.
دوم، اپلیکیشن Time4Popcorn از موتور مرورگر Chrome متعلق به سال ۲۰۱۴ استفاده می‌کند که به‌شدت قدیمی است و از سازوکارهای حفاظتی سندباکس (Sandbox) بهره نمی‌برد. این ضعف می‌تواند در حملات سایبری مورد سوءاستفاده قرار گیرد.
بهترین اقدام برای کاربران این است که نرم‌افزار Time4Popcorn را به‌طور کامل از سیستم‌های خود حذف کنند.
