Si todavía tienes instalado Time4Popcorn o una versión antigua de Popcorn Time, lo más seguro es desinstalarlo. Su actualizador descargaba archivos mediante una conexión HTTP sin verificar correctamente su firma, lo que podía permitir la ejecución de código malicioso con privilegios elevados en Windows y macOS.
El problema fue identificado como CVE-2026-30612. Aunque investigadores de Eye Security desactivaron parte del mecanismo vulnerable, la aplicación completa continúa siendo insegura y no existe un proveedor activo que publique una actualización confiable.
Qué ocurrió con el actualizador de Time4Popcorn
Time4Popcorn es una versión derivada de Popcorn Time, el antiguo cliente que permitía reproducir películas y series mediante BitTorrent. No debe confundirse con el proyecto legal que adoptó el nombre Popcorn Time en años recientes. La investigación de Eye Security se refiere a la aplicación abandonada y a sus derivados antiguos.
El actualizador de Windows y macOS se ejecutaba en segundo plano y contactaba con servidores mediante HTTP, un protocolo que no cifra ni autentica adecuadamente la comunicación. Además, aceptaba archivos ejecutables sin comprobar que procedieran de un desarrollador legítimo.
En Windows, el programa podía ejecutarse como NT AUTHORITY\SYSTEM. En macOS, podía hacerlo con permisos de root. En la práctica, un atacante que controlara uno de los dominios utilizados por el actualizador podría haber enviado ransomware, programas para robar contraseñas u otro malware.