CVE-2026-30612
CVSS 9.8 CRITICAL: an issue in Time4 Popcorn for Windows <= 6.2.1.18 and Time4Popcorn for MacOS <= 6.2.1.17 and Time4Popcorn for Android… EPSS 0.4% (35º percentile).
Vulnerabilità ed exploit
L’updater vulnerabile di Time4Popcorn, app abbandonata, è stato disattivato da remoto: la falla avrebbe potuto consentire l’esecuzione di codice con privilegi elevati su milioni di computer Windows e macOS.
Identificata come CVE-2026-30612, la falla è stata contenuta disattivando il meccanismo di aggiornamento stesso, non distribuendo una patch del vendor. Il report non conferma che tutte le copie installate siano state rimosse o rese sicure.
Per chi usa ancora software abbandonato, un updater privo di manutenzione può restare un percorso privilegiato verso il computer. Disattivare quel percorso da remoto non dimostra che ogni installazione sia al sicuro.
1 fonte · 4 ore fa
CVSS 9.8 CRITICAL: an issue in Time4 Popcorn for Windows <= 6.2.1.18 and Time4Popcorn for MacOS <= 6.2.1.17 and Time4Popcorn for Android… EPSS 0.4% (35º percentile).
BleepingComputer
Abandoned Popcorn Time app exposed millions of devices to RCE attacks
Researchers remotely disabled a vulnerable updater in the abandoned Time4Popcorn app, a fork of the Popcorn Time BitTorrent client, closing a security flaw that could have allowed attackers to execute malicious code with elevated privileges on millions of computers.
originalePart of the PlainSec briefing for 2026-10-23
Every edition of this story: Milioni di computer a rischio per un updater senza manutenzione