CVE-2026-30612 Popcorn Time更新器RCE

资讯专家

事件概述
Eye Security 处置了一个已废弃的 Popcorn Time 分支 Time4Popcorn 的更新机制，并对相关域名执行 sinkhole。该分支以 Popcorn Time 名义分发，更新器属于其中一个长期废弃但仍在运行的组件。

漏洞细节
该更新器通过 HTTP 连接远程服务器请求更新，很多更新域名已经废弃，或被第三方持有并停放。更新器随系统启动在后台运行，没有代码签名，会下载并执行域名下发的任意可执行文件，且以 System/root 权限运行。漏洞编号为 CVE-2026-30612。由于项目已废弃，没有厂商可以通过正常更新修补底层缺陷。

影响范围
Eye Security 注册废弃域名 popcorntimeupd.xyz 后，观察到数百万系统连接。受影响主机中 Windows 约 250 万至 300 万台，macOS 约 25 万至 35 万台，Android 少于 20 万台。连接主要来自全球终端 ISP，也出现政府、军事网络和企业网络来源。

处置与缓解
Eye Security 注册了 15 个未被第三方持有的域名，并向客户端推送更新以完全禁用有缺陷的更新机制。操作从 2025 年 11 月开始，到 2026 年 3 月约 200 万系统收到修复，其域名的更新请求减少约 98%。不过该修复只覆盖 Windows 和 macOS；Android 上的更新需要用户交互，且更新器是应用的一部分，无法独立禁用。

2026 年 3 月底，Shadowserver Foundation 接管相关域名，继续 sinkhole，并处理 Popcorn Time 应用加载 JavaScript 代码的其他废弃域名。

建议
更新器可以手动禁用，但应用本身基于 2014 年版 Chrome 且没有沙箱，建议直接完全卸载。Eye Security 表示其更新只禁用了更新器，应用其余部分未改变，相关风险仍然存在；其 PoC 已可通过 JavaScript 执行 calc.exe，说明风险真实。