Time4Popcorn : un updater abandonné exposait des millions d'appareils

Le 23 octobre 2026, Bleeping Computer a rendu compte d’une opération des chercheurs d’Eye Security. Ils ont désactivé à distance le programme de mise à jour de Time4Popcorn, un fork de Popcorn Time abandonné par ses développeurs. La faille, référencée CVE-2026-30612, aurait permis à quiconque contrôlait le domaine de mise à jour d’exécuter du code avec les privilèges SYSTEM sous Windows et root sous macOS.

Une mise à jour acceptée sans vérification

Popcorn Time proposait une interface inspirée de Netflix, adossée à des téléchargements BitTorrent, qui permettait de consommer des contenus illégaux directement dans l’application. Le projet d’origine a été abandonné pour des raisons juridiques, puis relancé plus tard comme service de streaming légitime. Entre-temps, des forks comme Time4Popcorn avaient repris le nom et réuni des millions d’utilisateurs.

La vulnérabilité tient à deux défauts cumulés. Les modules de mise à jour Windows et macOS contactaient le domaine popcorntimeupd.xyz, laissé à l’abandon, en HTTP non chiffré. Ils acceptaient aussi les exécutables reçus sans vérifier leur signature numérique. Celui qui contrôlait ce domaine pouvait donc manipuler le trafic HTTP et faire exécuter son propre code avec les droits les plus élevés de la machine.

Des millions de postes qui appelaient encore

Eye Security a découvert le risque après avoir enregistré elle-même le domaine. Ses chercheurs ont alors observé jusqu’à 3 millions de connexions de clients Windows et 350 000 de clients macOS. Elles provenaient de fournisseurs d’accès résidentiels, mais aussi de réseaux d’entreprises, d’administrations et de réseaux militaires.

Aucun de ces utilisateurs ne semblait pourtant se servir activement de l’application. Selon les chercheurs, elle avait été installée puis oubliée, mais continuait d’interroger son serveur de mise à jour. L’équipe a ensuite enregistré 14 autres domaines associés au service.

Une correction livrée par la faille elle-même

Entre novembre 2025 et mars 2026, Eye Security a utilisé le mécanisme vulnérable pour diffuser un code de remédiation, qui arrêtait puis désactivait le module de mise à jour. D’après les chercheurs, ce code ne collectait aucune donnée sur les machines, n’envoyait aucune télémétrie et ne supprimait aucun fichier, pour rester dans un cadre entièrement légal. Il a fallu le modifier pendant les tests : des antivirus le signalaient, précisément parce qu’il désactivait un service.

L’entreprise a recensé 2 millions de téléchargements de cette mise à jour corrective. Au 1er mars 2026, les requêtes vers son domaine de mise à jour avaient baissé de 98 %. Une fois l’opération terminée, la propriété du domaine a été transférée à la Shadowserver Foundation, une organisation de sécurité à but non lucratif.

Ce qui reste exposé

Le risque n’a pas entièrement disparu. Sur Android, installer une mise à jour exige une action de l’utilisateur : les chercheurs n’ont donc pas pu désactiver le module à distance sur cette plateforme. Par ailleurs, Time4Popcorn embarque un moteur Chrome datant de 2014, très ancien et sans aucune protection de type bac à sable (sandbox), qui pourrait lui aussi servir de point d’entrée à une attaque.

La recommandation est sans ambiguïté : désinstaller complètement le logiciel. Pour un service informatique, l’affaire montre qu’un inventaire du parc doit aussi recenser ce que plus personne n’utilise. Un programme oublié garde ses privilèges, ses connexions sortantes et ses failles, même quand plus personne ne l’ouvre.

Cette fois, c’est une équipe de chercheurs qui a récupéré le domaine. Rien dans la conception du logiciel ne garantissait que ce serait elle.