Popcorn Timeの忘れられたアップデート機能により、数百万台のデバイスが乗っ取りの危険にさらされていた

Popcorn Timeのことを忘れてしまったかもしれませんが、残念ながら、そのアップデートプログラムはあなたのデバイスのことを忘れていません。

セキュリティ研究者らは、かつて人気を博したストリーミングアプリ「Time4Popcorn」のバージョンで、放棄されたアップデートメカニズムを無効にするために介入した。バックグラウンドで実行されたままになっていると、アップデーターが攻撃者に制御を奪われる可能性があった。 Windows そしてMac たとえ所有者が何年もアプリを開いていなくても、コンピューターは影響を受ける。

Eye Securityは、この脆弱性のあるアップデーターが世界中で数百万台のデバイスに存在し、そのうち250万～300万台がWindows コンピューターと、約25万台から35万台のMac。

Popcorn Timeは、BitTorrent経由で映画やテレビ番組を視聴する際の体験を、Netflixを閲覧するのとほぼ同じようにした。ユーザーがトレントファイルを探して別のクライアントで開くのではなく、使い慣れたストリーミングスタイルのインターフェースでそのプロセスを包み込んだのだ。

著作権侵害とその影響に対する懸念から、オリジナルの開発者たちは2014年のリリース直後に開発を放棄した。しかし、ソースコードは公開されていたため、他の開発者がそれを利用して独自のバージョン（フォークと呼ばれる）を作成することができた。

その一つがTime4Popcornで、これは「Popcorn Time」という名前でも配布されていました。このブランド名が共通していることが問題となるのは、Time4Popcornという名前を目にすることなく、影響を受けたソフトウェアをインストールした人がいる可能性があるからです。

目の前の問題

Time4Popcornも最終的には開発が中止された。しかし、そのアップデートインフラは残され、いつしかソフトウェアに関連付けられたドメインは他のユーザーが登録できるようになった。

つまり、ソフトウェアの保守担当者がいなくなってしまったということだ。しかし、ソフトウェアが指示を受け入れる機能は失われていなかった。Time4Popcornのアップデーターは暗号化されていないHTTP接続を使用し、デジタル署名による認証を行わずに実行可能ファイルのアップデートを受け入れていた。そのため、アップデートドメインを管理している者、あるいは暗号化されていない通信を改ざんできる者は、代わりに独自のプログラムを送り込むことができたのだ。

この組み合わせにより、リモートコード実行の脆弱性（CVE-2026-30612 ）が発生し、攻撃者がデバイス上で悪意のあるソフトウェアを実行できる可能性が生じました。攻撃者は、誰かに映画を見させたり、不審な添付ファイルをクリックさせたりする必要はありません。忘れられたアップデーターが、その作業を自動的に行ってしまうのです。

Androidも影響を受けたが、ユーザーには追加の保護層があった。アプリを開くとアップデートがチェックされるが、攻撃者から提供されたAPKをインストールするには、ユーザーがインストールを承認する必要があった。これは、研究者が発見したような、静かにバックグラウンドで乗っ取られるルートとは異なっていた。 Windows そしてmacOS。

研究者たちがしたこと

Eye Securityは放棄されたアップデートドメインを登録し、脆弱なメカニズムを利用して、アップデーター自体を無効にするアップデートを配布した。 Windowsこれによりサービスが停止・無効化され、macOSではアップデートプロセスの開始が阻止された。研究者らは、今回の介入によってユーザーのファイルが削除されたり、ホストデータが収集されたりすることはなかったと述べている。

2026年3月までに、Eye Securityはアップデート無効化パッチのダウンロード数が200万件を超え、自社ドメインへのアップデート要求が98%減少したと報告した。同月後半、同社は管理していた15のドメインを非営利団体Shadowserver Foundationに譲渡した。

研究者たちは遠隔操作で無効化することができなかったAndroid アップデーターも同様です。また、デスクトップアプリケーションには、時代遅れのChrome 2014年製のエンジンを使用しており、通常は悪意のあるコードの封じ込めに役立つサンドボックス保護機能が無効になっている。

ユーザーがすべきこと

数年前にPopcorn Timeを使用していた場合は、インストールしたデバイスを確認してください。アプリケーションを使用しなくなったからといって、バックグラウンドで動作していたコンポーネントが停止しているとは限りません。

Popcorn TimeまたはTime4Popcornのインストール済みアプリケーション一覧を確認してください。 Windows PC、Mac、 Android インストールを忘れてしまった可能性のあるデバイス。影響を受けたフォークは両方の名前で配布されていました。
古いアプリケーションを削除してください。開発が終了しているTime4Popcornソフトウェアには、ベンダーによるセキュリティアップデートがありません。アップデーターを無効にしても、1つの脆弱性は解消されますが、アプリケーションの他のセキュリティ上の弱点は解決されません。
の上Windows macOS の場合は、バックグラウンドアップデーターが実行されていないことを確認してください。 Eye Security はWindows コンポーネントとして Updater.exe通常は Popcorn Time フォルダー内Program Files またはProgram Files (x86) では、Update Service と呼ばれるサービスを介して実行されます。macOS では、コンポーネントは /Library/PrivilegedHelperTools/PT.updd起動デーモンは /Library/LaunchDaemons/PT.updd.plist。その勧告必要に応じてこれらのコンポーネントを無効にするための手順を提供します。
Androidの場合、該当アプリからのアップデート通知を受け入れるのではなく、アンインストールしてください。アップデーターはメインアプリケーションの一部であり、個別に簡単に無効化することはできません。
最新のリアルタイムマルウェア対策ソリューションを使用して、デバイスへのマルウェアのインストール試行を検知し、ブロックしてください。