Eye Security, Popcorn Time güncelleyicisini uzaktan devre dışı bırakmak için iki milyondan fazla yama gönderdi

Hollandalı Eye Security, terk edilmiş bir Popcorn Time kopyasında Windows ve Mac bilgisayarlara güncelleme yoluyla kötü amaçlı kod yüklenmesine imkân veren güncelleyiciyi kapattı; açık, CVE-2026-30612 olarak izleniyor.

Kasım 2025 ile Mart 2026 arasında Hollandalı Eye Security, terk edilmiş bir Popcorn Time kopyasını çalıştıran Windows ve Mac bilgisayarlara iki milyondan fazla yama uzaktan gönderdi. Bu yamalar, uygulamanın güncelleyicisini kapattı; güncelleyici, dışarıdan biri tarafından en yüksek ayrıcalık düzeyinde kod kurulmasına olanak tanıyabilecek bir açık taşıyordu.

Açık, CVE-2026-30612 olarak izleniyor ve ABD'nin Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA tarafından 10 üzerinden 9,8 puanla derecelendirildi. Açık, Time4Popcorn güncelleyicisinin şifrelenmemiş bir bağlantı üzerinden güncelleme aramasından ve kendisine gönderilen her şeyi kabul etmesinden kaynaklanıyordu. Güncelleyici, kodu gönderenin kim olduğunu kontrol etmeden en yüksek ayrıcalık düzeyinde kuruyordu.

Eye, risk altındaki bilgisayar sayısını Windows için yaklaşık 2,5 ila 3 milyon, Mac için ise 250 bin ila 350 bin olarak tahmin etti. Şirket, kontrolünde bulunan 15 web adresini Mart ayının sonunda Shadowserver Foundation'a devretti.

Uygulamanın geri kalanı hâlâ güvensiz. Bu nedenle Eye, kullanıcıların Popcorn Time'ı bilgisayarlarından tamamen kaldırmasını öneriyor. Android cihazlar uzaktan yapılan güncellemeden etkilenmedi, çünkü Android'de güncellemelerin kullanıcı onayı gerektiriyor.