Компанія Eye Security 22 жовтня розкрила операцію IXIM: з листопада 2025 року до березня 2026 року її фахівці віддалено відключали вразливий оновлювач покинутого клієнта Time4Popcorn для Windows і macOS.
Дослідники виявили Updater.exe на ноутбуці користувача, коли програма намагалася звернутися до вже вільного домену popcorntimeupd.xyz. Після реєстрації адреси сервер Eye Security почав отримувати близько 50 запитів за секунду.
Оновлювач передавав незашифрованим HTTP посилання на виконуваний файл, не перевіряв цифровий підпис і запускав код із правами SYSTEM у Windows. Аналогічний компонент macOS виконував оновлення з правами root.
Офіційний запис CVE відносить вразливість CVE-2026-30612 до Time4Popcorn для Windows до версії 6.2.1.18, macOS до 6.2.1.17 і Android до 3.5.0.173. Оцінка CVSS становить 9,8 із 10.
Через помилки в апаратних ідентифікаторах точну кількість установок визначити не вдалося. Eye Security оцінила охоплення в 2,5–3 млн Windows-комп’ютерів і 250–350 тис. пристроїв macOS, які взаємодіяли з інфраструктурою оновлень.
Серед підключень були домашні,
корпоративні, урядові та військові мережі.
За час операції дослідники надіслали понад 2 млн завантажень коду, який зупиняв і відключав оновлювач. Він не видаляв файли й не збирав дані пристроїв, а до 1 березня кількість запитів до контрольованих доменів знизилася на 98%.
Наприкінці березня Eye Security передала 15 доменів некомерційній організації Shadowserver Foundation. Частина адрес оновлення залишалася у третіх сторін, тож відключення не охопило всю інфраструктуру старого застосунку.
Пристрої Android віддалено не оновлювали: там перевірка запускається під час відкриття програми, а встановлення APK має підтвердити користувач. Крім того, оновлювач вбудований у саму програму і не вимикається окремо.
BleepingComputer зазначає, що захисна операція не усунула інші слабкі місця Time4Popcorn. Клієнт використовує рушій Chrome 2014 року без пісочниці, тож Eye Security рекомендує повністю видалити застосунок.
Уражений Time4Popcorn був форком Popcorn Time, який закрили 2014 року, і поширювався під тією самою назвою. Malwarebytes наголошує, що новий проєкт Popcorn Time, який з’явився у 2025 році, до цієї вразливості не належить.
