Admin
Администратор
Исследователи удалённо отключили уязвимый механизм обновлений в заброшенном приложении Time4Popcorn, форке BitTorrent-клиента Popcorn Time. Это позволило закрыть серьёзную уязвимость, которая могла бы дать злоумышленникам возможность выполнять вредоносный код с повышенными привилегиями на миллионах компьютеров. Уязвимость, получившая идентификатор CVE-2026-30612, затрагивала механизмы обновления для Windows и macOS, которые обращались к заброшенному домену приложения по незашифрованному протоколу HTTP и принимали исполняемые файлы без проверки цифровых подписей. Любой, кто получил бы контроль над доменом обновлений, мог манипулировать HTTP-трафиком и выполнять код с правами SYSTEM на Windows и root на macOS. Исследователи из Eye Security обнаружили проблему после регистрации домена popcorntimeupd.xyz и зафиксировали до 3 миллионов подключений от клиентов Windows и 350 тысяч от macOS. Для защиты пользователей исследователи использовали уязвимый механизм обновлений для рассылки исправления, которое отключало опасную функцию. Несмотря на успешное устранение основной угрозы, исследователи предупреждают, что пользователи Android остаются уязвимыми, а само приложение использует устаревшую версию движка Chrome без песочницы.
