✨︎ Resumen (TL;DR):
- Eye Security desactivó a distancia el actualizador vulnerable de Time4Popcorn en Windows y macOS.
- La falla CVE-2026-30612 permitía descargar ejecutables por HTTP y ejecutarlos como SYSTEM o root.
- La operación redujo 98 % las solicitudes de actualización, pero la aplicación instalada conserva otros riesgos.
Eye Security desactivó a distancia el actualizador vulnerable de Time4Popcorn, una variante antigua de Popcorn Time para Windows y macOS, porque podía descargar ejecutables sin cifrado ni comprobación de firmas y ejecutarlos con los privilegios más altos del sistema. La operación IXIM ocurrió entre noviembre de 2025 y marzo de 2026 y buscó impedir que terceros tomaran el control de los equipos.
Time4Popcorn superó los dos millones de descargas. Eye Security detalló la operación el 22 de octubre y aclaró que su investigación excluye al proyecto que comenzó a usar el nombre Popcorn Time en 2025.
Para intervenir, la firma registró dominios abandonados a los que se conectaba el componente y distribuyó una actualización que detuvo y deshabilitó el actualizador.
Qué versiones de Time4Popcorn estaban expuestas
El fallo CVE-2026-30612 permitía que el actualizador descargara ejecutables mediante HTTP, sin cifrado ni comprobación de firmas. En Windows, esos archivos podían ejecutarse como SYSTEM; en macOS, como root. Esos son los niveles de privilegio más altos en ambos sistemas.
El registro de la NVD identifica como afectadas estas versiones:
- Windows: hasta la versión 6.2.1.18, incluida.
- macOS: hasta la versión 6.2.1.17, incluida.
- Android: hasta la versión 3.5.0.173, incluida.
En Windows y macOS, el actualizador se iniciaba automáticamente con el sistema. Dejar de abrir la aplicación no detenía ese proceso.
Android seguía otro flujo: la app buscaba actualizaciones al abrirse y la instalación exigía aceptar un archivo APK. Como el actualizador estaba integrado en la aplicación, Eye Security no pudo deshabilitarlo por separado.
La caída de solicitudes no equivale a equipos protegidos
Eye Security estima que observó entre 2.5 y 3 millones de equipos Windows y entre 250,000 y 350,000 Macs. Algunos identificadores se repetían en Windows y cambiaban en macOS, así que la firma no puede tratar esas cifras como un censo de dispositivos.
Al 1 de marzo de 2026, la firma reportó una reducción del 98 % en las solicitudes de actualización dirigidas a sus dominios. A finales de ese mes, transfirió los 15 dominios que controlaba a The Shadowserver Foundation; otros seguían en manos de terceros.
Sinkhole es un mecanismo que redirige conexiones hacia servidores benignos para observar el tráfico. Esa protección actúa sobre la infraestructura, pero no retira el software instalado.
La aplicación aún conserva otros riesgos
Time4Popcorn usa un motor Chrome de 2014 con el aislamiento de seguridad desactivado. La intervención solo apagó el actualizador y dejó intacta la aplicación.
Por eso, Eye Security recomienda desinstalar esta variante antigua. Para revisar instalaciones olvidadas, el aviso identifica Updater.exe en Windows y PT.updd en macOS.
IXIM redujo el canal de actualización, pero no retiró Time4Popcorn de los equipos ni corrigió el motor Chrome de 2014. La recomendación de Eye Security es concreta: desinstalar esta variante antigua y revisar si siguen presentes Updater.exe o PT.updd.
