Eye Security tung hơn 2 triệu bản cập nhật để vô hiệu hóa updater Popcorn Time
"Researchers at Eye Security proactively pushed over 2 million updates to disable a vulnerable updater component in the abandoned Time4Popcorn application. The updater, running with SYSTEM/root privileges, posed a significant risk of remote code execution, potentially leading to botnet recruitment or malware installation. The vulnerability is tracked as CVE-2026-30612 and affects Windows, Mac, and Android versions of the software."
Lỗ hổng cho phép thực thi mã từ xa trên hệ thống, có thể dẫn đến mất dữ liệu hoặc nhiễm malware. Việc khai thác thành công có thể ảnh hưởng đến hệ thống mạng của tổ chức.
Các doanh nghiệp có nhân viên sử dụng Popcorn Time có thể đối mặt với rủi ro bảo mật và tổn thất tài chính do sự cố bảo mật. Việc khắc phục sự cố và khôi phục hệ thống có thể gây gián đoạn hoạt động.
Eye Security đã chủ động đẩy hơn 2 triệu bản cập nhật đến máy tính để tắt updater của ứng dụng Time4Popcorn (một bản sao của Popcorn Time). Updater này, chạy với quyền SYSTEM/root, có thể bị lợi dụng để tạo botnet hoặc cài đặt phần mềm độc hại. Lỗ hổng này (CVE-2026-30612) ảnh hưởng đến các phiên bản Windows, Mac và Android.
Với các doanh nghiệp và người dùng Việt Nam, đây là cảnh báo về rủi ro từ phần mềm nguồn mở không còn được bảo trì. Việc sử dụng các ứng dụng không chính thức, đặc biệt là các ứng dụng chia sẻ nội dung có bản quyền, có thể dẫn đến các lỗ hổng bảo mật nghiêm trọng.
Updater.exe trên Windows và Mac liên tục kết nối đến một địa chỉ web không còn đăng ký. Eye Security đã đăng ký địa chỉ này và phát hiện hơn 3.8 triệu ID phần cứng kết nối.
Operation IXIM là tên gọi của chiến dịch này. Eye Security đã phát hành bản cập nhật để tắt updater, không xóa file hay thu thập dữ liệu. Việc này tương tự chiến dịch Ladybird năm 2021, khi cảnh sát Hà Lan vô hiệu hóa botnet Emotet.
Tuy nhiên, khác với Emotet, người dùng Popcorn Time đã chủ động cài đặt ứng dụng. Dù vậy, Eye Security cho rằng người dùng không hề hay biết về updater chạy ngầm trong nhiều năm. Bản cập nhật ban đầu bị một số phần mềm diệt virus gắn cờ là malware, nhưng Eye Security đã điều chỉnh để giảm thiểu báo động sai.
Đến tháng 3 năm 2026, hơn 2 triệu bản cập nhật đã được gửi đi, giảm 98% lưu lượng truy cập đến các địa chỉ web liên quan. Các địa chỉ web này sau đó được chuyển giao cho Shadowserver Foundation để quản lý.
Eye Security khuyến cáo người dùng nên gỡ cài đặt Popcorn Time vì ứng dụng này sử dụng công cụ duyệt web cũ và tải nội dung qua kết nối không mã hóa. Việc tắt updater chỉ giải quyết một phần của vấn đề.
Góc nhìn của Orange Cloud
Theo chúng tôi, chiến dịch này cho thấy tầm quan trọng của việc theo dõi và vá lỗ hổng bảo mật ngay cả trong các ứng dụng không còn được hỗ trợ. Đối với các doanh nghiệp Việt Nam, việc kiểm tra định kỳ các phần mềm đang sử dụng và đảm bảo chúng được cập nhật là rất quan trọng. Điều đáng chú ý là việc vô hiệu hóa updater không giải quyết triệt để vấn đề; người dùng nên gỡ cài đặt hoàn toàn ứng dụng.