- 安全研究人员发现，一款已废弃的流媒体应用 Popcorn Time 存在严重漏洞，可能通过不安全的更新机制向数百万台设备分发恶意软件
- 该漏洞允许控制失效更新域名的人向连接的系统推送可执行代码
- Eye Security 团队已合法接管并禁用该更新程序，阻止了潜在的大规模网络攻击
近期，安全研究人员披露了一款废弃 torrent 应用程序的重大安全隐患。该应用若被攻击者利用，可将恶意软件部署至全球数百万台设备上。幸运的是，在攻击者发现此漏洞之前，研究人员已成功将其关闭。
背景：Popcorn Time 与 Torrent 技术
Torrent（比特流）是一种广泛使用的文件下载方式，通过将文件托管在网络中的多个节点而非单一服务器，有效避免了速度慢和停机风险。用户只需下载一个约 100kb 的 .torrent 文件，其中包含大文件的分布位置信息，随后通过专门的客户端连接各个节点并行下载数据块，从而显著提升速度。
尽管该技术常用于合法用途，但也常被用于获取盗版电影、商业软件和游戏。对于非技术用户而言，手动寻找 torrent 文件并配置客户端较为繁琐，这催生了 Popcorn Time 这类集成化应用的出现。Popcorn Time 界面类似 Netflix，但直接通过 torrent 协议流式传输内容。在法律压力下，原版应用虽已关闭，但由于其开源特性，衍生版本如 Time4Popcorn 随之出现。
关键缺陷：CVE-2026-30612
问题源于大量用户虽不再使用这些衍生应用，但仍将其保留在计算机中。这些客户端内置了一个更新程序，试图通过未加密的 HTTP 协议连接到已废弃的域名 Xpopcorntimeupd.xyz。更严重的是，该程序接受域名下发现的任何可执行文件，且无需验证数字签名。
这一漏洞已被追踪为 CVE-2026-30612，严重性评分高达 9.8/10（危急级别）。理论上，威胁行为者只需注册该失效域名，即可向所有仍安装该应用的用户推送恶意更新。
安全响应与影响范围
安全研究公司 Eye Security 抢先注册了该域名，并观察到来自住宅 ISP、政府及军事网络以及企业设备的海量连接请求。数据显示，约有 300 万台 Windows 客户端和 35 万台 macOS 客户端尝试连接 Time4Popcorn 的更新服务。Eye Security 指出，这些设备大多是在过去某个时间点安装后便被遗忘的应用残留。
“如果我们能够发送更新，我们可能会在数百万个系统上执行代码，”Eye Security 强调，若此能力落入错误之手，后果将不堪设想。
为防止危害，Eye Security 并未部署恶意软件，而是编写并推送了一段仅用于停止和禁用更新功能的代码。该操作未删除用户计算机上的应用程序，也未收集主机或遥测数据，仅指示应用不再寻求更新。
修复进展与建议
从 2025 年 11 月至 2026 年 3 月，研究人员持续向受影响设备推送禁用指令，目前针对该更新域的请求量下降了 98%。剩余的 2% 流量主要来自安卓设备，这部分设备目前仍处于危险之中。
Eye Security 认为此次修复行动取得了成功，并已将该域名及其收购的其他 14 个相关域名的所有权转让给 Shadowserver 基金会。研究人员敦促所有用户立即从设备上卸载此类应用，以消除主要的安全风险。
