# Il clone di Popcorn Time dimenticato su milioni di PC era una porta aperta URL: https://menteinformatica.it/sicurezza-privacy/popcorn-time-time4popcorn-vulnerabilita-updater/ Autore: Giorgio Perillo Aggiornato: 2026-10-24 Categoria: Sicurezza e Privacy --- I ricercatori di Eye Security hanno disattivato da remoto, tra novembre 2025 e marzo 2026, l’updater di **Time4Popcorn**, un clone abbandonato di Popcorn Time ancora installato su milioni di computer. Se hai ancora Popcorn Time o Time4Popcorn, rimuovi completamente il software. ## Un dominio poteva dare accesso ai computer Popcorn Time era l’app con l’interfaccia in stile Netflix che riproduceva film e serie pirata scaricati via BitTorrent. Il progetto originale è stato chiuso per motivi legali, ma sotto lo stesso nome sono nati diversi cloni, e Time4Popcorn è uno di quelli che ha raccolto milioni di utenti. La vulnerabilità, catalogata come **CVE-2026-30612**, riguarda gli updater per Windows e macOS. Contattavano il dominio popcorntimeupd.xyz con una connessione HTTP non cifrata e accettavano file eseguibili senza verificarne la firma digitale, cioè senza controllare che arrivassero davvero dagli sviluppatori. Chi controllava il dominio poteva quindi eseguire codice come SYSTEM su Windows e come root su macOS, i **privilegi più alti** di entrambi i sistemi. Secondo The Verge, Niels Teusink di Eye Security spiega che bastava questo per costruire una botnet, colpire computer precisi con un attacco man-in-the-middle (intercettando il traffico) o sorvegliare le macchine individuate. ## Le connessioni arrivavano anche da reti governative Eye Security si è accorta del rischio dopo aver registrato popcorntimeupd.xyz, rimasto libero. Il numero esatto di dispositivi esposti non si conosce, ma i ricercatori hanno osservato fino a 3 milioni di connessioni da Windows e 350.000 da macOS. Le richieste arrivavano da connessioni domestiche, ma anche da reti aziendali, governative e militari. Nessuno sembrava usare davvero l’app. Come ricostruisce [l’inchiesta di BleepingComputer](https://www.bleepingcomputer.com/news/security/abandoned-popcorn-time-app-exposed-millions-of-device-to-rce-attacks/), questo suggeriva che fosse stata installata e poi dimenticata. ## L’aggiornamento che spegne l’aggiornamento I ricercatori hanno registrato altri 14 domini legati al servizio. - Su Windows il codice ferma e disattiva il servizio tramite il Service Control Manager, il gestore dei servizi di sistema. - Su macOS uno script impedisce al processo di aggiornamento di avviarsi. - Secondo la stessa ricostruzione, il codice non raccoglie dati dai computer né telemetria e non cancella alcun file. Durante i test qualche antivirus ha scambiato il pacchetto per un malware, proprio perché disattivava un servizio, e i ricercatori hanno dovuto modificarlo. Alla fine i download sono stati oltre **2 milioni** e entro il 1° marzo 2026 le richieste al dominio erano calate del 98%. A marzo i ricercatori hanno smesso di inviare l’aggiornamento e hanno passato i domini alla Shadowserver Foundation, organizzazione non profit che si occupa di sicurezza. Entrare nei computer altrui, anche per spegnere un rischio, solleva dubbi etici. I ricercatori rispondono che l’unica alternativa era non fare nulla, e che il processo di aggiornamento non svolgeva comunque nessuna funzione utile e creava solo rischi per gli utenti. ## Su Android il problema è ancora aperto Sui dispositivi Android l’updater non è stato disattivato. Lì l’installazione di un aggiornamento richiede un intervento dell’utente, quindi i ricercatori non hanno potuto spegnerlo da remoto. **Attenzione** Time4Popcorn usa un motore Chrome del 2014, gravemente obsoleto e senza sandbox, una protezione che isola l’esecuzione del codice. Anche con l’updater spento, questo motore resta sfruttabile negli attacchi. Affidare la manutenzione di un’app dimenticata all’intervento di ricercatori esterni è una protezione troppo fragile su cui contare.