Vous avez peut-être oublié Popcorn Time. Malheureusement, son programme de mise à jour n'a pas oublié votre appareil.
Des chercheurs en sécurité sont intervenus pour désactiver un mécanisme de mise à jour abandonné dans Time4Popcorn, une version de l'application de streaming autrefois populaire. Si ce mécanisme était resté actif en arrière-plan, il aurait pu permettre à des attaquants de prendre le contrôle de l'application. Windows et Mac des ordinateurs, même si leurs propriétaires n'avaient pas ouvert l'application depuis des années.
Eye Security estime que le programme de mise à jour vulnérable était présent sur des millions d'appareils dans le monde, dont 2,5 à 3 millions. Windows des ordinateurs et environ 250 000 à 350 000 Mac.
Popcorn Time a transformé le visionnage de films et de séries TV via BitTorrent en une expérience similaire à la navigation sur Netflix. Au lieu d'obliger les utilisateurs à rechercher des fichiers torrent et à les ouvrir dans un client distinct, l'application a intégré le processus dans une interface de type streaming familière.
Face aux inquiétudes liées à la violation du droit d'auteur et à ses conséquences possibles, les développeurs d'origine l'ont abandonné peu après son lancement en 2014. Mais comme son code source était accessible au public, d'autres développeurs ont pu le reprendre et créer leurs propres versions, appelées forks.
L'un d'eux était Time4Popcorn, également distribué sous le nom de « Popcorn Time ». Ce partage de marque est important car certaines personnes ont pu installer le logiciel concerné sans jamais voir le nom Time4Popcorn.
Le problème en question
Time4Popcorn a finalement été abandonné lui aussi. Mais son infrastructure de mise à jour a été laissée sur place, et à un moment donné, les noms de domaine associés au logiciel sont devenus disponibles à l'enregistrement.
Autrement dit, les personnes chargées de la maintenance du logiciel avaient disparu. Sa capacité à recevoir des instructions, elle, demeurait intacte. Le système de mise à jour de Time4Popcorn utilisait des connexions HTTP non chiffrées et acceptait les mises à jour exécutables sans vérifier leur authenticité par signature numérique. Par conséquent, toute personne contrôlant un domaine de mise à jour ou capable de manipuler le trafic non chiffré pouvait fournir son propre programme.
Cette combinaison a créé une vulnérabilité d'exécution de code à distance, référencée CVE-2026-30612 , qui pourrait permettre à un attaquant d'exécuter un logiciel malveillant sur un appareil. L'attaquant n'aurait pas besoin de persuader l'utilisateur de regarder un film ou de cliquer sur une pièce jointe suspecte : le programme de mise à jour oublié pourrait s'en charger.
Bien Android ait également été touché, les utilisateurs bénéficiaient d'une protection supplémentaire. Son système de mise à jour vérifiait les mises à jour à l'ouverture de l'application, mais l'installation d'un fichier APK fourni par un attaquant nécessitait l'approbation de l'utilisateur. Il ne s'agissait pas de la même méthode de prise de contrôle silencieuse en arrière-plan que les chercheurs avaient découverte sur Android. Windows et macOS.
Ce qu'ont fait les chercheurs
Eye Security a enregistré un domaine de mise à jour abandonné et a utilisé cette vulnérabilité pour diffuser une mise à jour qui désactivait le programme de mise à jour lui-même. Windows Le service a été interrompu et désactivé ; sous macOS, le processus de mise à jour n’a pas pu démarrer. Les chercheurs précisent que leur intervention n’a entraîné ni suppression de fichiers utilisateur ni collecte de données système.
En mars 2026, Eye Security a annoncé plus de deux millions de téléchargements de son correctif désactivant les mises à jour, et les demandes de mise à jour vers ses domaines avaient chuté de 98 %. Plus tard dans le mois, elle a transféré les 15 domaines qu'elle contrôlait à la fondation à but non lucratif Shadowserver Foundation .
Les chercheurs n'ont pas pu désactiver à distance le Android Le programme de mise à jour fonctionnait de la même manière. L'application de bureau présentait également d'autres faiblesses, notamment une fonctionnalité obsolète. Chrome Le moteur date de 2014 et les protections sandbox, qui permettent normalement de contenir le code malveillant, ont été désactivées.
Que doivent faire les utilisateurs ?
Si vous avez utilisé Popcorn Time il y a plusieurs années, vérifiez les appareils sur lesquels vous l'avez installé. Ne présumez pas que le fait de ne plus utiliser une application signifie que ses composants en arrière-plan ont cessé de fonctionner.
- Vérifiez la liste des applications installées pour Popcorn Time ou Time4Popcorn. Portez une attention particulière aux plus anciennes. Windows PC, Mac et Android Sur certains appareils, vous avez peut-être oublié de l'installer. La version concernée a été distribuée sous les deux noms.
- Supprimez l'ancienne application. Aucune mise à jour de sécurité n'est disponible pour le logiciel Time4Popcorn, désormais abandonné. La désactivation du système de mise à jour corrige une seule vulnérabilité, mais pas les autres failles de sécurité de l'application.
- Sur Windows Sous macOS, vérifiez que le programme de mise à jour en arrière-plan n'est plus en cours d'exécution. Eye Security identifie le Windows composant en tant que
Updater.exe, normalement dans un dossier Popcorn Time sous Program Files ou Program Files (x86), exécuté via un service appelé Service de mise à jour. Sur macOS, le composant est/Library/PrivilegedHelperTools/PT.updd, avec un démon de lancement à/Library/LaunchDaemons/PT.updd.plist. C'est consultatif fournit des instructions pour désactiver ces composants si nécessaire. - Sur Android , désinstallez l'application concernée plutôt que d'accepter une demande de mise à jour. Le module de mise à jour fait partie intégrante de l'application principale et ne peut pas être facilement désactivé séparément.
- Utilisez une solution anti-malware à jour et en temps réel pour détecter et bloquer toute tentative d'installation de logiciel malveillant sur vos appareils.
Comme nous l'avons constaté récemment , les cybercriminels peuvent utiliser les mises à jour logicielles pour diffuser des logiciels malveillants. Supprimez les applications que vous n'utilisez plus et vérifiez la présence de programmes de mise à jour en arrière-plan.
Du signalement des menaces à leur suppression.
Les risques de cybersécurité ne devraient jamais dépasser le stade de la simple mention dans les médias. Protégez vos appareils des menaces en téléchargeant Malwarebytes dès aujourd'hui .
