Tra la fine del 2025 e i primi mesi del 2026 è emerso un caso che mostra quanto un semplice sistema di aggiornamento possa trasformarsi in un rischio enorme per la sicurezza informatica. Un componente chiamato Updater.exe, legato a Time4Popcorn (una versione abbandonata di Popcorn Time), continuava a funzionare in background su molti computer anche anni dopo l’installazione.
Il problema principale era che questo updater contattava domini non più registrati e scaricava aggiornamenti tramite connessioni non cifrate, accettando qualsiasi file gli venisse servito.
Quando un dominio di aggiornamento viene abbandonato, chiunque può registrarlo e prendere il controllo del canale di update. In questo scenario, un attaccante avrebbe potuto distribuire codice malevolo a milioni di dispositivi con privilegi elevati, cioè SYSTEM su Windows e root su Mac. Con questi permessi sarebbe stato possibile installare ransomware, sottrarre password salvate o arruolare i sistemi in una botnet su larga scala.
Durante un’attività di threat hunting è stato osservato un traffico anomalo verso un indirizzo web non più attivo. Dopo la registrazione del dominio sono arrivate decine di richieste al secondo, indicando una diffusione globale. Le stime basate su identificativi hardware hanno suggerito un impatto potenziale di milioni di macchine tra Windows e macOS, con una presenza anche in reti aziendali e istituzionali.
La vulnerabilità è stata tracciata come CVE-2026-30612 con punteggio critico 9.8 e riguarda versioni specifiche del software su Windows, Mac e Android. Non essendoci più un maintainer in grado di rilasciare patch, è stata scelta una misura straordinaria: utilizzare lo stesso meccanismo di update per distribuire un pacchetto che disabilita il servizio di aggiornamento senza cancellare file e senza raccogliere dati. Per ridurre falsi positivi antivirus, il pacchetto è stato modificato finché quasi tutti i motori hanno smesso di segnalarlo.
Disabilitare l’updater non rende comunque sicura l’applicazione, poiché il programma usa componenti datati, scarica contenuti non cifrati e dipende da ulteriori risorse abbandonate. La raccomandazione più efficace resta disinstallare Popcorn Time e verificare in rete la presenza dei file Updater.exe e PT.updd, oltre al traffico verso i domini di aggiornamento.