أعلنت شركة Eye Security الهولندية للأمن السيبراني في 22 أكتوبر 2026 إرسال أكثر من مليوني تحديث لأجهزة تشغل Time4Popcorn، وهي نسخة مهجورة من تطبيق بث الأفلام Popcorn Time، وذلك بين نوفمبر 2025 ومارس 2026. هدفت العملية إلى تعطيل أداة التحديث العاملة في خلفية التطبيق والتي تحمل الثغرة (CVE-2026-30612)
انطلقت العملية إثر نشاط اعتيادي لصيد التهديدات، حين رصدت الشركة عملية باسم Updater.exe على حاسوب أحد العملاء تحاول الاتصال بنطاق غير مسجل. بادرت Eye Security بتسجيل النطاق لمراقبة النشاط، لتستقبل فوراً نحو 50 طلباً في الثانية. وخلال ستة أشهر، سجلت الشركة أكثر من 3.8 مليون معرف جهاز مختلف، قبل أن يتضح عدم موثوقية هذا المقياس، لتستقر التقديرات عند 2.5 إلى 3 ملايين جهاز Windows وما بين 250 إلى 350 ألف جهاز Mac.
اعتمدت أداة التحديث في عملها على جلب البيانات عبر اتصال HTTP غير مشفر، منتظرة رداً بصيغة JSON يتضمن رابطاً لملف تنفيذي، لتحميله وتشغيله بصلاحيات النظام العليا، وهي SYSTEM في أنظمة Windows وroot في أنظمة macOS، متجاهلة أي تحقق من التوقيع الرقمي. يختلف الأمر في نظام Android بغياب العملية الخلفية، حيث يطلب التطبيق من المستخدم تثبيت ملف APK عند التشغيل. ونشرت الشركة تفاصيل هذا الخلل في 11 يونيو 2026، مؤكدة غياب أي تصحيح رسمي نظراً لهجر التطبيق.
يشمل الخلل الإصدارات حتى 6.2.1.18 على أنظمة Windows، و6.2.1.17 على macOS، و3.5.0.173 على Android. صدر التقييم الحرج للثغرة عن CISA كجزء من جهود إثراء السجلات، ولم يصدر عن Eye Security نفسها. ولم تدرج CISA هذه الثغرة في فهرس الثغرات المستغلة KEV حتى إصدار 23 أكتوبر 2026.
أوضحت Eye Security أن إمكانية إرسال التحديثات تفتح الباب لتنفيذ شيفرات برمجية على ملايين الأجهزة، وهي ثغرة يستغلها مشغلو برمجيات الفدية عادة لاختراق شبكات الشركات. وأظهرت عينة من عناوين IP اتصالات قادمة من شبكات حكومية وعسكرية وشركات كبرى حول العالم. ودفع هذا الخطر الشركة لتسجيل النطاقات المتاحة وإرسال تحديث مضاد يوقف عمل الأداة كلياً.
أثارت الخطوة تساؤلات داخل الشركة حول الأبعاد الأخلاقية والقانونية، لتخلص الإدارة بعد استشارة فريقها القانوني إلى أن الخيار الوحيد الآخر هو التجاهل التام. ورغم تثبيت المستخدمين لتطبيق Popcorn Time طوعاً، لم يوافق أي منهم على بقاء أداة تحديث منسية تعمل في الخلفية لسنوات بانتظار تنفيذ أوامر بصلاحيات كاملة من أي جهة تسيطر على النطاقات.
واجهت العملية عقبات مع برامج مكافحة الفيروسات، فبعد أسبوع من رفع التحديث إلى منصة VirusTotal، صنفه 11 مورداً كبرمجية خبيثة. ولتفادي حجب التحديث وبقاء الأداة المعيبة نشطة، أجرت Eye Security تعديلات برمجية متتالية على الشيفرة حتى انخفض معدل الحجب إلى مورد واحد فقط.
وصل التحديث بعد شهر واحد في ديسمبر 2025 إلى أكثر من مليون جهاز، مترافقاً مع انخفاض في طلبات التحديث الواردة إلى نطاقات الشركة بنسبة 90% خلال أسابيع قليلة. وبحلول 1 مارس 2026، تراجع حجم الإرسال إلى 5000 تحديث يومياً مسجلاً انخفاضاً قدره 98%. وأوقفت الشركة عمليات الإرسال بعد تجاوز التحميلات حاجز المليونين، ناقلة إدارة نطاقاتها الخمسة عشر في أواخر مارس إلى مؤسسة Shadowserver لضمان إشراف جهة موثوقة.
اقتصرت وظيفة التحديث الصادر عن Eye Security على إيقاف الخدمة وتعطيلها دون جمع للبيانات أو حذف للملفات. وبقي التطبيق الأساسي معتمداً على محرك Chrome القديم لعام 2014 مع بيئة عزل معطلة واتصال HTTP غير مشفر، إلى جانب استدعاء شيفرات JavaScript من نطاقات مهجورة سيطرت عليها الشركة أيضاً لمنع استغلالها. وطورت الشركة برمجية إثبات مفهوم تنجح في تشغيل الحاسبة calc.exe عبر JavaScript، موصية المستخدمين بحذف التطبيق نهائياً.
تتيح أنظمة Windows تعطيل أداة التحديث يدوياً عبر إيقاف خدمة Update، بينما يتطلب macOS إلغاء تحميل ملف PT.updd، في حين تندمج الأداة ضمن التطبيق في أجهزة Android ويستحيل تعطيلها بشكل مستقل. وأوصت الشركة فرق مراكز العمليات الأمنية بمراجعة مؤشرات الاختراق المنشورة، داعية مزودي حماية النقاط الطرفية لتصنيف ملفي Updater.exe وPT.updd كبرمجيات غير مرغوب فيها. وتبقى النسخة الجديدة من تطبيق Popcorn Time الصادرة مطلع 2025 آمنة من هذه الثغرة.
