Aplikasi Popcorn Time Terbengkalai Rawan Serangan RCE yang Ancam Jutaan Perangkat
Para peneliti keamanan siber berhasil menonaktifkan mekanisme pembaru (updater) yang rentan pada aplikasi Time4Popcorn—sebuah fork dari klien BitTorrent populer Popcorn Time yang kini telah terbengkalai. Tindakan ini dilakukan untuk menutup celah keamanan kritis yang berpotensi memungkinkan penyerang menjalankan kode berbahaya (Remote Code Execution / RCE) dengan hak istimewa tinggi pada jutaan komputer di seluruh dunia.
Kerentanan keamanan yang dilacak dengan identifikasi CVE-2026-30612 ini memengaruhi komponen pembaru pada sistem operasi Windows dan macOS. Pembaru tersebut diketahui menghubungi domain lama aplikasi (popcorntimeupd.xyz) melalui protokol HTTP yang tidak terenkripsi serta menerima file eksekutable (executables) tanpa memverifikasi tanda tangan digital (digital signatures).
Akibat kelemahan ini, siapa pun yang berhasil mengendalikan domain pembaruan tersebut dapat memanipulasi lalu lintas HTTP dan mengeksekusi kode berbahaya sebagai SYSTEM pada perangkat Windows dan sebagai root pada perangkat macOS.
Sebagai informasi, aplikasi Popcorn Time dulunya sangat populer karena menawarkan antarmuka bergaya Netflix yang mengintegrasikan unduhan BitTorrent secara langsung, memungkinkan pengguna menikmati konten video secara streaming di dalam aplikasi. Meskipun proyek aslinya sempat ditutup karena masalah hukum dan kemudian muncul kembali dalam berbagai fork seperti Time4Popcorn, aplikasi ini dengan cepat menarik jutaan pengguna.
Penemuan dan Skala Risiko oleh Eye Security
Tim peneliti keamanan dari Eye Security menemukan risiko siber ini setelah mereka mendaftarkan domain popcorntimeupd.xyz yang telah kedaluwarsa. Dari pemantauan tersebut, mereka mendapati ada sekitar 3 juta klien Windows dan 350.000 klien macOS yang masih mencoba terhubung ke infrastruktur Time4Popcorn.
Koneksi tersebut berasal dari berbagai jaringan, mulai dari penyedia layanan internet (ISP) perumahan hingga jaringan perusahaan, instansi pemerintah, dan militer. Kendati demikian, sebagian besar pengguna tampaknya tidak lagi secara aktif menggunakan aplikasi tersebut, mengindikasikan bahwa perangkat lunak itu kemungkinan besar hanya pernah diinstal di masa lalu dan dibiarkan begitu saja (forgotten installations).
“Jika kami mampu mengirimkan pembaruan, kami berpotensi mendapatkan eksekusi kode pada jutaan sistem,” ungkap pihak Eye Security, seraya memperingatkan bahwa dampaknya akan sangat parah jika celah tersebut jatuh ke tangan pihak yang salah. Menyusul temuan ini, para peneliti juga mengamankan 14 domain lain yang terafiliasi dengan layanan tersebut.
Operasi Remediasi dan Penyerahan ke Shadowserver Foundation
Antara November 2025 hingga Maret 2026, Eye Security memanfaatkan mekanisme pembaruan yang rentan tersebut secara legal untuk mengirimkan kode remediasi (remediation code) yang dirancang khusus guna menghentikan serta menonaktifkan pembaru pada perangkat pengguna.
Pihak peneliti memastikan bahwa payload yang dikirimkan tidak mengumpulkan data host maupun telemetri apa pun, serta tidak menghapus berkas apa pun dari komputer pengguna, sehingga tindakan tersebut sepenuhnya berada dalam koridor hukum dan pengamanan. Selama proses pengujian, mereka bahkan harus memodifikasi payload agar tidak terdeteksi oleh produk antivirus yang menandainya sebagai aktivitas penghentian layanan.
Setelah proses penyebaran remediasi selesai, Eye Security mencatat ada 2 juta unduhan pembaruan berhasil diproses, dan per 1 Maret tahun ini, permintaan ke domain pembaruan tersebut anjlok hingga 98%. Setelah operasi penyelamatan ini sukses, kepemilikan domain kemudian dialihkan kepada organisasi nirlaba keamanan siber, The Shadowserver Foundation.
Meskipun langkah mitigasi tersebut berhasil meredam sebagian besar ancaman, para peneliti memperingatkan bahwa risiko belum sepenuhnya hilang bagi seluruh pengguna aplikasi ini:
- Pengguna platform Android tetap berada dalam posisi rentan karena pembaruan pada perangkat seluler memerlukan interaksi pengguna secara langsung, sehingga peneliti tidak dapat menonaktifkan pembaru secara jarak jauh.
- Aplikasi Time4Popcorn masih menggunakan mesin Chrome keluaran tahun 2014 yang sudah sangat usang dan tidak memiliki perlindungan sandbox, menjadikannya target empuk untuk eksploitasi lanjutan.
Langkah penanganan terbaik yang sangat dianjurkan bagi pengguna saat ini adalah segera menghapus instalasi (uninstall) perangkat lunak tersebut sepenuhnya dari sistem komputer maupun ponsel.
Sumber: Eye Security
