Investigadores neerlandeses descobriram numa versão abandonada do Popcorn Time falha de segurança tão grave que milhões de computadores ficaram à mercê de quem controlasse os domínios que a app deixou cair. A falha tem o código CVE-2026-30612 e está no atualizador do Time4Popcorn, o nome dessa versão, que ia buscar novas versões por HTTP, sem encriptação, e instalava o que recebesse com privilégios máximos no Windows e no macOS. A mesma equipa conseguiu desligá-lo à distância e explica como o fez.
O Popcorn Time foi muito popular há cerca de dez anos, também em Portugal, e é fácil que ainda esteja esquecido num PC lá de casa ou do escritório. É precisamente esse o problema: mesmo que nunca o abras, o atualizador corre em segundo plano desde que ligas o computador. Vê que versões estão afetadas, o que fizeram os investigadores e como verificar se o tens instalado para o removeres.
Detetada no Popcorn Time falha de segurança: como funciona
O Popcorn Time original fechou em 2014, mas deu origem a várias cópias que continuaram a usar o mesmo nome. Uma delas é o Time4Popcorn, de código fechado, que trazia um atualizador próprio: o Updater.exe no Windows e o PT.updd no macOS.
O atualizador perguntava por novas versões a uma lista de domínios por HTTP, sem encriptação nem verificação de assinaturas. Recebia um ficheiro e executava-o com privilégios SYSTEM no Windows ou root no macOS, sem qualquer interação do utilizador. Como os domínios tinham sido abandonados, bastava a alguém registá-los para conseguir instalar o que quisesse em todas as máquinas que ainda os contactavam.
Os investigadores dão exemplos do que um atacante podia fazer: instalar ransomware, roubar as palavras-passe guardadas ou juntar os computadores a uma botnet. A CISA, a agência de cibersegurança dos EUA, classifica a falha com 9,8 em 10.
Importa frisar que existe um projeto legal, lançado em 2025, que também usa o nome Popcorn Time. Esse projeto não tem nada a ver com esta falha.
Que versões estão afetadas
A falha afeta estas versões do Time4Popcorn:
| Sistema | Versões afetadas | Como funciona o atualizador |
|---|---|---|
| Windows | até à 6.2.1.18, inclusive | Serviço em segundo plano, arranca com o PC |
| macOS | até à 6.2.1.17, inclusive | Ferramenta auxiliar com privilégios, arranca com o Mac |
| Android | até à 3.5.0.173, inclusive | Só procura atualizações quando abres a app e pede-te para instalar |
Como a app está abandonada, não há nem vai haver correção oficial.
Como os investigadores desligaram o atualizador à distância
Os investigadores deram com o problema por acaso, quando viram um Updater.exe a tentar contactar um domínio já não registado no portátil de um cliente. Registaram esse domínio e passaram a receber cerca de 50 pedidos por segundo.
Ao longo de seis meses, os pedidos trouxeram mais de 3,8 milhões de identificadores de hardware diferentes. Perceberam depois que esses identificadores não servem para contar máquinas e reviram a estimativa para 2,5 a 3 milhões de PC Windows e 250 a 350 mil Mac.
Sem fabricante a quem reportar a falha, a equipa decidiu, com aconselhamento jurídico, usar o próprio atualizador contra si mesmo. Entre novembro de 2025 e março de 2026, a operação, batizada de IXIM, enviou uma atualização que se limita a parar e desligar o atualizador, sem apagar ficheiros nem recolher dados. Em dezembro já tinha chegado a mais de um milhão de sistemas, e no início de março os pedidos tinham caído 98%.
No fim de março, a equipa entregou os 15 domínios que controlava à Shadowserver Foundation, uma organização sem fins lucrativos que tira domínios abandonados ou maliciosos de circulação. Outros domínios usados pelo atualizador continuam nas mãos de terceiros. Os próprios investigadores reconhecem que agiram sobre computadores que não eram seus e comparam o caso com a operação em que a polícia neerlandesa desativou a botnet Emotet, em 2021.
Porque é que a app continua perigosa
Desligar o atualizador não torna a app segura. O Popcorn Time assenta num motor do Chrome de 2014, com a proteção sandbox desligada, carrega conteúdos por HTTP e vai buscar código JavaScript a domínios abandonados.
Os investigadores registaram também esses domínios e construíram uma prova de conceito que executa código no computador de quem abre a app. Não a usaram, mas o risco mantém-se para quem continuar a abrir o programa. No Android, a operação nem sequer foi feita, porque o atualizador está embutido na app.
Como verificar se tens o Popcorn Time e como o remover
A recomendação dos investigadores é clara: desinstala o Popcorn Time.
- Windows: abre as Definições, entra em Aplicações e depois em Aplicações instaladas, procura «Popcorn Time» e escolhe Desinstalar. Podes também confirmar se existe a pasta C:\Program Files\Popcorn Time ou C:\Program Files (x86)\Popcorn Time.
- Mac: procura a app na pasta Aplicações e apaga-a. A ferramenta auxiliar fica em /Library/PrivilegedHelperTools/PT.updd.
- Android: mantém o ícone da app premido e escolhe Desinstalar. Não há outra forma de desligar o atualizador.
Se, por algum motivo, não puderes remover já a app, os investigadores publicaram os comandos que desligam o atualizador.
No Windows, numa linha de comandos aberta como administrador:
sc.exe stop "Update service"
sc.exe config "Update service" start= disabled
No Mac, no Terminal, com uma conta de administrador:
launchctl unload -w /Library/LaunchDaemons/PT.updd.plist
Lembra-te de que isto só desliga o atualizador. O resto da app continua vulnerável.
A nossa análise
O caso mostra um risco que raramente se discute: software esquecido que continua a correr em segundo plano anos depois de deixarmos de o usar. Se tens um PC antigo em casa, ou geres computadores numa pequena empresa, vale a pena passares os olhos pela lista de programas instalados e removeres o que já não usas.