Perusahaan keamanan Eye Security memaparkan bahwa fitur pembaruan otomatis Time4Popcorn, varian Popcorn Time yang sudah ditinggalkan pengembangnya, bisa dibajak siapa saja yang menguasai domain pembaruannya. Temuan yang dipresentasikan di konferensi hack.lu pada 22 Oktober itu dilacak sebagai CVE-2026-30612, dan kembali diberitakan SecurityWeek serta Malwarebytes dalam beberapa hari terakhir. Menurut Eye, pemilik domain bisa menjalankan kode di komputer korban dengan hak tertinggi tanpa interaksi pengguna.
Cara kerja celahnya
Eye menemukan masalah ini ketika sebuah proses bernama Updater.exe di laptop klien mencoba menghubungi domain yang sudah tidak terdaftar. Pembaruan dicek lewat HTTP tanpa enkripsi, lalu berkas yang diunduh dijalankan tanpa verifikasi tanda tangan digital. Di Windows berkas itu berjalan sebagai SYSTEM, di macOS sebagai root. Karena proyeknya ditinggalkan, domain pembaruan lama bisa didaftarkan orang lain. Di Android, pemasangan APK dari penyerang tetap memerlukan persetujuan pengguna.
Eye mendaftarkan sendiri domain-domain itu, total 15, sebelum penyerang sempat melakukannya. Dalam pengamatan enam bulan, mereka mencatat lebih dari 3,8 juta ID perangkat, lalu merevisi taksiran setelah analisis lanjutan: sekitar 2,5 sampai 3 juta komputer Windows dan 250.000 sampai 350.000 Mac. Dari November 2025 sampai Maret 2026, Eye mengirim pembaruan yang hanya mematikan layanan pembaruan di Windows dan memuat ulang daemon PT.updd di macOS. Menurut Eye, pembaruan itu tidak mengumpulkan telemetri dan tidak menghapus berkas. Permintaan ke domain turun sekitar 98 persen pada 1 Maret, dan domainnya diserahkan ke Shadowserver Foundation untuk sinkhole pada akhir Maret. Perangkat Android tidak bisa dimatikan dengan cara yang sama.
Eye menegaskan aplikasinya sendiri tetap tidak aman. Mesinnya berbasis Chromium lawas tanpa sandbox, memuat konten lewat HTTP, dan pernah memuat JavaScript dari domain terlantar. Artikel sumber tidak menyebut versi aplikasi yang terdampak, hanya bahwa permintaan yang teramati melaporkan versi 6.1.0.0. Tidak ada versi yang diperbaiki karena tidak ada vendor yang merilis tambalan.
Langkah yang perlu Anda ambil
Rekomendasi Eye dan Malwarebytes sama: hapus aplikasinya. Periksa daftar aplikasi terpasang untuk nama Popcorn Time atau Time4Popcorn, terutama di PC, Mac, dan ponsel Android lama. Di Windows, cari Updater.exe di folder Popcorn Time di Program Files dan layanan bernama Update Service. Di macOS, periksa berkas PT.updd di /Library/PrivilegedHelperTools dan /Library/LaunchDaemons. Di Android, copot aplikasinya dan jangan menerima permintaan pembaruan darinya. Setelah itu, jalankan pemindaian dengan antimalware yang aktif dan terbaru. Tim keamanan di kantor dapat memakai daftar indikator di laporan Eye untuk memeriksa jaringan mereka.
Bagi pembaca di Indonesia, aplikasi streaming tidak resmi semacam ini masih sering terpasang di komputer lama yang jarang diperiksa. Dalam kasus ini, kebiasaan membiarkan aplikasi tak terurus berarti memberi akses penuh ke mesin kepada siapa pun yang membeli sebuah domain murah.
Sumber: Eye Security, BleepingComputer, dan Malwarebytes. Gambar: BleepingComputer.