Time4Popcorn com falha crítica que deixa utilizadores em risco

Uma versão abandonada do Popcorn Time tinha uma falha que deixava a porta aberta a atacantes.

Investigadores de segurança descobriram e neutralizaram uma vulnerabilidade de segurança grave no Time4Popcorn, uma versão já abandonada derivada do cliente BitTorrent Popcorn Time que podia expor milhões de computadores Windows e macOS a ataques de execução remota de código (RCE). Identificada como CVE-2026-30612, a falha afectava o sistema de actualização que comunicava com um domínio abandonado através de HTTP sem encriptação e instalava ficheiros executáveis sem verificar as respectivas assinaturas digitais. Um atacante que controlasse esse domínio poderia executar código malicioso com privilégios SYSTEM no Windows ou acesso root no macOS.

A app tornou-se popular graças a uma interface semelhante à da Netflix, que permitia reproduzir conteúdos através de BitTorrent. Apesar do projecto original já ter sido abandonado, versões derivadas, como o Time4Popcorn, continuaram a atrair milhões de utilizadores. Os investigadores da Eye Security descobriram o vasto alcance deste problema depois de registarem o antigo domínio de actualização e receberem ligações de cerca de três milhões de computadores Windows e 350 mil dispositivos macOS. As ligações tinham origem em redes domésticas, empresariais, governamentais e militares, sendo que muitas destas instalações serão de máquinas em que a app ficou esquecida pelos utilizadores.

A Eye Security aproveitou o mecanismo de actualização vulnerável para distribuir uma ferramenta que interrompeu e desactivou o serviço, evitando riscos adicionais nessas máquinas. A operação não recolheu dados dos computadores nem informações de telemetria, e também não eliminou ficheiros. Os pedidos ao domínio de actualização diminuiram 98%. Após a conclusão da operação, o controlo dos domínios relevantes foi transferido para a organização sem fins lucrativos The Shadowserver Foundation, especializada em segurança informática.

Ainda assim, o risco não desapareceu por completo. Os utilizadores Android continuam expostos, uma vez que não foi possível desactivar remotamente o mecanismo de actualização na plataforma. Além disso, a app utiliza uma versão extremamente desactualizada do Chrome, de 2014, sem protecções de sandbox. Por esse motivo, a recomendação é a remoção completa da app Time4Popcorn em todos os sistemas em que esteja instalada.