کمیته رکن چهارم– پژوهشگران Eye Security جزئیات عملیاتی را منتشر کرده‌اند که برای غیرفعال‌کردن به‌روزرسان ناامن Time4Popcorn انجام شده است. این نسخه قدیمی و رهاشده از Popcorn Time می‌توانست رایانه کاربران را در اختیار مهاجمان قرار دهد؛ حتی اگر سال‌ها از برنامه استفاده نکرده باشند.
به گزارش کمیته رکن چهارم، گزارش ۲۲ اکتبر ۲۰۲۶ به نقص CVE-2026-30612 مربوط است. به‌روزرسان ویندوز و macOS در پس‌زمینه فعال می‌ماند و فایل را از ارتباط رمزگذاری‌نشده دریافت می‌کرد، بدون آنکه امضای دیجیتال آن را بررسی کند.
در نتیجه، کنترل مسیر به‌روزرسانی می‌توانست به اجرای برنامه دلخواه با بالاترین سطح دسترسی منجر شود؛ خطری که امکان نصب باج‌افزار یا سرقت رمزها را ایجاد می‌کند. این گزارش به معنی تأیید آلوده‌شدن همه کاربران نیست.
Eye Security می‌گوید از نوامبر ۲۰۲۵ تا مارس ۲۰۲۶ بیش از دو میلیون دانلودِ به‌روزرسانی غیرفعال‌کننده ثبت کرده و سپس دامنه‌های تحت کنترل خود را به Shadowserver سپرده است. تعداد دانلودها لزوماً برابر تعداد دستگاه‌های یکتا نیست.
توصیه پژوهشگران حذف کامل این نرم‌افزار است؛ توقف به‌روزرسان، موتور مرورگر بسیار قدیمی و دیگر ضعف‌های خود برنامه را اصلاح نمی‌کند. اقدام از راه دور نسخه اندروید را ایمن نکرده است. پژوهش به پروژه قانونی جدیدی که از ۲۰۲۵ نام Popcorn Time را استفاده می‌کند مربوط نیست.
منبع: BleepingComputer
