Popcorn Time abandonné exposait des millions d'appareils à des RCE
24 octobre 2026 · Cybersécurité
Des chercheurs d'Eye Security ont découvert que l'application abandonée Time4Popcorn (fork de Popcorn Time) exposait jusqu'à 3,35 millions d'appareils (Windows et macOS) à des attaques d'exécution de code à distance via un mécanisme de mise à jour non sécurisé. La faille CVE-2026-30612 permettait à quiconque contrôlant le domaine de mise à jour d'exécuter du code avec les privilèges SYSTEM/root. Les chercheurs ont enregistré le domaine abandonné et déployé un correctif remédiant à la vulnérabilité entre novembre 2025 et mars 2026, réduisant les requêtes de 98%. Selon Eye Security, des risques subsistent pour les utilisateurs Android et ceux utilisant le moteur Chrome 2014 intégré à l'application.
Impact marchés
Secteur cybersécurité ; entreprises non cotées (Eye Security, Shadowserver Foundation) ; tendance aux failles liées aux logiciels abandonnés avec domaines expirés récupérables par des acteurs malveillants
Opportunités
Opportunité pour les éditeurs de solutions de gestion des assets et d'inventaire logiciel (détection d'applications abandonnées). Risque pour les entreprises ayant des réseaux avec des logiciels oubliés installés (connexions observées depuis des réseaux corporate, gouvernementaux et militaires).