Peneliti Eye Security menemukan bahwa Time4Popcorn, salah satu fork aplikasi streaming torrent Popcorn Time yang sudah lama ditinggalkan pengembangnya, masih terpasang di jutaan komputer dengan updater yang bisa dibajak. Celah dengan nomor CVE-2026-30612 ini memungkinkan siapa pun yang menguasai domain pembaruan aplikasi menjalankan kode di komputer pengguna dengan hak akses tertinggi: SYSTEM di Windows dan root di macOS.
Masalahnya sederhana. Updater Time4Popcorn mengambil file pembaruan lewat HTTP tanpa enkripsi dan langsung menjalankan file itu tanpa memeriksa tanda tangan digital. Domain yang dihubungi updater, popcorntimeupd.xyz, sudah kedaluwarsa dan bisa didaftarkan ulang oleh siapa saja.
Eye Security mengambil alih domain lebih dulu
Niels Teusink dari Eye Security menemukan kasus ini setelah melihat proses Updater.exe menghubungi domain yang belum terdaftar. Eye lalu mendaftarkan domain tersebut sebelum penjahat siber sempat melakukannya. Dalam enam bulan, server Eye menerima sekitar 50 permintaan per detik. Eye memperkirakan ada 2,5 sampai 3 juta komputer Windows dan 250.000 sampai 350.000 Mac yang terhubung, termasuk dari jaringan perusahaan, pemerintah, dan militer. Sebagian besar pemiliknya tampaknya sudah tidak memakai aplikasi itu, tetapi updater-nya tetap berjalan di latar belakang.
Karena tidak ada vendor yang bisa merilis patch, Eye memakai jalur pembaruan yang rentan itu untuk mengirim kode yang mematikan updater, dalam operasi bernama Operation IXIM antara November 2025 dan Maret 2026. Menurut Eye, kode tersebut tidak mengumpulkan data dan tidak menghapus file. Hingga 1 Maret, permintaan ke domain Eye turun 98 persen. Eye kemudian menyerahkan 15 domain kepada Shadowserver Foundation untuk di-sinkhole. Beberapa domain lain yang terkait aplikasi ini masih berada di luar kendali Eye.
BleepingComputer dan CyberInsider tidak melaporkan adanya eksploitasi oleh pihak jahat. Eye juga menegaskan temuannya tidak berlaku untuk proyek Popcorn Time baru yang diluncurkan awal 2025.
Yang perlu dilakukan pengguna
Tidak ada versi yang sudah diperbaiki, karena pengembang Time4Popcorn tidak lagi aktif. Satu-satunya mitigasi yang dianjurkan Eye adalah menghapus aplikasi ini sepenuhnya dari Windows, macOS, maupun Android. Mematikan updater saja tidak cukup. Aplikasi ini masih memakai mesin Chromium versi 2014 dengan sandbox nonaktif, koneksi tanpa enkripsi, dan memuat JavaScript dari domain yang sudah ditinggalkan.
Pengguna Android perlu lebih waspada. Eye tidak bisa menonaktifkan updater di Android dari jarak jauh, sehingga perangkat yang masih menyimpan aplikasi ini tetap terbuka bila ada pihak lain yang menguasai domain pembaruannya. Jangan menyetujui permintaan pembaruan dari Time4Popcorn.
Bagi admin TI kantor, periksa daftar aplikasi terpasang di komputer karyawan dan cari layanan pembaruan Popcorn Time atau Time4Popcorn. Aplikasi tak terurus yang dipasang bertahun-tahun lalu dan sudah dilupakan pemiliknya tetap bisa menjadi pintu masuk ke jaringan perusahaan.
Sumber: BleepingComputer, CyberInsider. Gambar: BleepingComputer