방치된 Popcorn Time 파생 앱 Time4Popcorn의 업데이트 기능에 취약점이 있어 공격자가 윈도우와 맥OS 기기에서 높은 권한으로 악성 코드를 실행할 수 있었다. Eye Security는 취약한 업데이트 기능을 이용해 업데이트 프로그램을 중지하고 비활성화했지만, 안드로이드 이용자와 앱의 구형 브라우저 엔진에는 위험이 남아 있다고 경고했다.

취약점 CVE-2026-30612는 앱의 방치된 도메인 popcorntimeupd.xyz에 암호화되지 않은 HTTP로 연결하고, 디지털 서명 확인 없이 실행 파일을 받아들인 윈도우·맥OS 업데이트 프로그램에 영향을 줬다. 업데이트 도메인을 장악한 공격자는 HTTP 트래픽을 조작해 윈도우에서는 SYSTEM, 맥OS에서는 root 권한으로 코드를 실행할 수 있었다.

Eye Security 연구진은 popcorntimeupd.xyz 도메인을 등록한 뒤 Time4Popcorn 이용자의 접속을 관찰했다. 윈도우 클라이언트는 최대 300만 대, 맥OS 클라이언트는 35만 대가량 접속했다. 접속은 가정용 인터넷뿐 아니라 기업·정부·군 네트워크에서도 확인됐지만, 이용자들이 앱을 실제로 사용하고 있지는 않은 것으로 보였다. 연구진은 이 앱이 설치된 뒤 잊힌 경우가 많았을 것으로 추정했다.

Eye Security는 연구 내용에서 업데이트를 보낼 수 있었다면 수백만 시스템에서 코드 실행이 가능했을 것이라고 설명했다. 연구진은 서비스와 관련된 도메인 14개도 추가로 등록했다.

2025년 11월부터 2026년 3월까지 Eye Security는 취약한 업데이트 방식을 통해 업데이트 프로그램을 중지하고 비활성화하는 코드를 배포했다. 이 코드는 컴퓨터의 데이터나 원격 측정 정보를 수집하지 않았으며 파일도 삭제하지 않았다. 테스트 중에는 서비스 비활성화를 이유로 백신 제품이 코드를 탐지하자 페이로드를 수정했다고 밝혔다.

대응 조치 뒤 업데이트 다운로드는 200만 건에 달했고, 2026년 3월 1일까지 Eye Security의 업데이트 도메인으로 향하는 요청은 98% 감소했다. 대응 작업이 끝난 뒤 도메인 소유권은 비영리 보안 단체 The Shadowserver Foundation으로 이전됐다.

다만 안드로이드 이용자는 업데이트 설치에 직접 조작이 필요해 연구진이 원격으로 업데이트 프로그램을 비활성화하지 못했다. 또 Time4Popcorn은 샌드박스 보호 기능이 없는 2014년의 심하게 오래된 크롬 엔진을 사용해 공격에 악용될 수 있다. 연구진은 앱을 시스템에서 완전히 삭제하는 것이 가장 나은 조치라고 권고했다.