Un vecchio sistema di aggiornamento di Popcorn Time ha lasciato potenzialmente esposti tra 250.000 e 350.000 Mac a una vulnerabilità critica rimasta nascosta per anni. Si tratta di Time4Popcorn, una delle versioni nate dopo la chiusura del progetto originale nel 2014. Nonostante il software fosse ormai abbandonato, il servizio che si occupava degli aggiornamenti continuava ad avviarsi sui computer, anche quando gli utenti non aprivano l'applicazione da anni.
La scoperta e i rischi
A fare la scoperta è stato il team di ricercatori di Eye Research, che il 22 ottobre ha pubblicato un rapporto sull'indagine Operation IXIM. Alla vulnerabilità è stato assegnato il codice CVE-2026-30612. Il componente interessato era in grado di consentire potenzialmente a un malintenzionato di eseguire codice sui Mac con i massimi privilegi di sistema, ottenendo il controllo completo del computer. La falla riguarda un servizio chiamato PT.updd, avviato automaticamente con macOS e funzionante anche quando Popcorn Time non viene utilizzato. Le comunicazioni con i server avvengono senza cifratura, tramite HTTP, e manca un controllo sulla firma digitale degli aggiornamenti. Chi fosse riuscito a prendere il controllo di uno dei server, o a modificare il traffico di rete, avrebbe potuto inviare al Mac codice dannoso da eseguire con privilegi di root.
L'intervento di Eye Research e come proteggersi
L'indagine è iniziata quando Eye Research ha scoperto che il vecchio sistema di aggiornamento continuava a contattare domini ormai abbandonati. Dopo averne registrato uno, i ricercatori hanno rilevato circa 50 richieste al secondo. Con successive verifiche è stato stimato che potrebbero essere stati potenzialmente coinvolti tra i 250.000 e i 350.000 Mac e oltre 2,5-3 milioni di PC Windows. Non sono state trovate prove che la vulnerabilità sia stata effettivamente sfruttata da criminali informatici. Mancando sviluppatori in grado di correggere il problema, Eye Research ha deciso di utilizzare lo stesso sistema di aggiornamento per disattivare da remoto il servizio vulnerabile. L'operazione, condotta tra novembre 2025 e marzo 2026, ha portato alla distribuzione di oltre due milioni di aggiornamenti, anche se non è possibile stabilire quanti dispositivi siano stati effettivamente corretti. Inoltre, alcuni server sono rimasti al di fuori del controllo dei ricercatori. La correzione distribuita non elimina tutti i rischi legati a Time4Popcorn, poiché l'applicazione utilizza un vecchio motore di navigazione risalente al 2014, con la sandbox di sicurezza disabilitata, che continua a caricare codice JavaScript tramite connessioni non protette. Per questo, i ricercatori consigliano di rimuovere del tutto Time4Popcorn, anche se non viene più utilizzato da anni. La semplice eliminazione dell'app dalla cartella Applicazioni potrebbe non essere sufficiente, poiché alcuni servizi possono continuare a funzionare in background. Per verificare la presenza del componente vulnerabile è possibile aprire Finder, selezionare Vai > Vai alla cartella e inserire il percorso specificato nel rapporto.
