Une mise à jour oubliée exposait des millions de postes, Eye Security la neutralise
Des chercheurs d’Eye Security ont neutralisé un module de mise à jour abandonné capable d’exécuter du code sur des millions de postes, Windows comme macOS.
Par
Samia Lounici
En bref
- La faille CVE-2026-30612 touchait les programmes de mise à jour Windows et macOS de Time4Popcorn.
- Eye Security a désactivé ce module entre novembre 2025 et mars 2026, sans supprimer de fichiers.
- Les appareils Android restent exposés, car la mise à jour y exige une action de l’utilisateur.
- Les chercheurs recommandent de retirer entièrement le logiciel de l’ordinateur.
Des chercheurs d’Eye Security ont désactivé à distance le programme de mise à jour d’une application abandonnée, Time4Popcorn, dérivée du client BitTorrent Popcorn Time, comme le relate BleepingComputer. Ce module ouvrait une brèche potentielle sur des millions d’ordinateurs.
Une mise à jour sans garde-fou
La faille, référencée CVE-2026-30612, concerne les programmes de mise à jour sous Windows et macOS. Ils interrogeaient un domaine laissé à l’abandon, popcorntimeupd.xyz, en HTTP non chiffré, et acceptaient des exécutables sans en contrôler la signature numérique. Quiconque maîtrisait ce domaine pouvait donc altérer le trafic et lancer du code avec les droits SYSTEM sous Windows, ou root sous macOS.
Popcorn Time avait popularisé une interface façon Netflix où les téléchargements BitTorrent se lisaient directement dans l’application, y compris pour des contenus illégaux. Le projet a été abandonné pour des raisons juridiques, puis relancé comme application de streaming légitime. Des forks, dont Time4Popcorn, ont alors circulé sous le nom Popcorn Time et attiré rapidement des millions d’utilisateurs.
Des installations oubliées, jusque dans les réseaux sensibles
Eye Security a repéré le problème après avoir enregistré le domaine délaissé. Les chercheurs y ont vu converger jusqu’à 3 millions de connexions de clients Windows et 350 000 de clients macOS.
Les requêtes venaient de fournisseurs d’accès résidentiels, mais aussi de réseaux d’entreprises, d’administrations et de structures militaires. Aucun utilisateur ne semblait se servir activement du logiciel : il paraissait installé, puis oublié. Selon Eye Security, « If we were able to send an update, we could potentially get code execution on millions of systems, » une phrase qui résume le risque encouru.
Une désactivation encadrée
Les chercheurs ont ensuite employé le mécanisme défaillant lui-même pour livrer un code de remédiation. Son rôle se limitait à arrêter et neutraliser le programme de mise à jour.
- Eye diffuse le code de remédiation via le mécanisme vulnérable.
- Le code est modifié pour échapper aux antivirus, qui le signalaient parce qu’il désactivait un service.
- Les requêtes vers le domaine d’Eye ont reculé de 98 %, après 2 millions de téléchargements de la mise à jour.
- La propriété du domaine est transférée à la fondation à but non lucratif The Shadowserver Foundation.
Pour rester dans un cadre légal, la charge n’a collecté ni données d’hôte ni télémétrie, et n’a effacé aucun fichier sur les machines.
Qui reste exposé, et que faire
Le risque n’est pas totalement écarté. Sur Android, l’installation d’une mise à jour exige une action de l’utilisateur, et les chercheurs n’ont pas pu y désactiver le module à distance. Ces appareils restent donc vulnérables.
Autre point faible : Time4Popcorn embarque un moteur Chrome de 2014, gravement obsolète et dépourvu de protections de sandbox, ce qui pourrait servir à des attaques. Les chercheurs jugent que la meilleure option consiste à supprimer entièrement le logiciel des systèmes où il a été installé, sur ordinateur comme sur mobile.
Photo : Viralyft / Pexels
