Terk edilen Popcorn Time güncelleyicisi milyonlarca bilgisayarı ele geçirilmeye açık bıraktı

Hollandalı güvenlik şirketi Eye Security'nin araştırmacıları, Popcorn Time film akış uygulamasının terk edilmiş bir sürümünün güvensiz güncelleyicisi nedeniyle milyonlarca Windows ve macOS bilgisayarın uzaktan kod çalıştırma saldırılarına açık kaldığını ve aynı mekanizmayı kullanarak güncelleyiciyi 2 milyondan fazla cihazda uzaktan devre dışı bıraktıklarını açıkladı. The Hacker News'in aktardığına göre CVE-2026-30612 kimliğiyle izlenen açığa CISA 9,8 puan verdi; bulgular 22 Ekim'de Hack.lu konferansında sunuldu.

Neler oldu?

BleepingComputer'ın haberine göre BitTorrent tabanlı Popcorn Time istemcisinin bir çatalı olan Time4Popcorn'un Windows ve macOS güncelleyicileri, sahipsiz kalan popcorntimeupd.xyz alan adına şifresiz HTTP üzerinden bağlanmayı sürdürüyor ve gelen çalıştırılabilir dosyaları dijital imza doğrulaması yapmadan kabul ediyordu. Eye Security sorunu rutin bir tehdit avı sırasında fark etti; bu alan adını ve hizmetle ilişkili 14 alan adını daha kendi adına kaydetti.

The Hacker News'e göre Kasım 2025 ile Mart 2026 arasında gelen isteklerde 3,8 milyondan fazla donanım kimliği görüldü; Eye bu sayıyı yaklaşık 2,5–3 milyon Windows bilgisayar ve 250–350 bin Mac olarak düzeltti. Bağlantılar ev internet sağlayıcılarının yanı sıra kurumsal, kamu ve askeri ağlardan da geldi, ancak araştırmacılar bu örneklemden kesin sonuç çıkarmanın zor olduğunu vurguladı.

Teknik detaylar

Güncelleyici, bilgisayar açılışından itibaren arka planda en yüksek yetkiyle, Windows'ta SYSTEM, macOS'te root olarak çalışıyor. Dolayısıyla güncelleme alan adlarını kontrol eden herhangi biri, hâlâ bu adreslere bağlanan tüm makinelere zararlı kod gönderebilirdi; Eye olası sonuçlar arasında fidye yazılımı, parola hırsızlığı ve botnet'e dahil edilmeyi saydı. The Hacker News'e göre etkilenen sürümler Windows'ta 6.2.1.18, Mac'te 6.2.1.17 ve Android'de 3.5.0.173 dahil olmak üzere bu sürümler ve öncesi.

Üretici yaması bulunmadığından Eye, hukuki görüş aldıktan sonra Kasım 2025–Mart 2026 arasında yalnızca güncelleyiciyi durdurup devre dışı bırakan, dosya silmeyen ve veri toplamayan bir yük gönderdiğini söyledi. 2 milyondan fazla güncelleme indirmesi kaydedildi ve 1 Mart 2026 itibarıyla alan adına gelen istekler yüzde 98 azaldı. Alan adları daha sonra kâr amacı gütmeyen Shadowserver Foundation'a devredildi. Eye, başka birinin bu adresler üzerinden kod dağıttığına dair kanıt bulmadığını belirtti.

Kimler etkileniyor?

Android'de güncelleme kurulumu kullanıcı onayı gerektirdiği için Eye güncelleyiciyi uzaktan kapatamadı; bu kullanıcılar hâlâ risk altında. Araştırmacılar ayrıca uygulamanın korumalı alanı (sandbox) kapalı, 2014 tarihli bir tarayıcı motoruyla çalıştığı ve bir kısmı başkalarına ait olan diğer sahipsiz adreslerden kod çektiği konusunda uyardı.

Ne yapmalı?

• Popcorn Time'ı tamamen kaldırın; her iki yayın da bunu en iyi seçenek olarak gösteriyor.
• Kurum ağlarında Windows'ta Updater.exe, macOS'te PT.updd bileşenlerini ve Eye Security raporunda listelenen alan adlarına giden trafiği arayın.
• Uygulama hemen kaldırılamıyorsa güncelleyici hizmeti araştırmacıların paylaştığı yönergelere göre elle devre dışı bırakılabilir.