Des millions d’ordinateurs ont été exposés à l’exécution de code à distance parce que le programme de mise à jour en arrière-plan d’une application de streaming abandonnée continuait de fonctionner des années après que les utilisateurs ont cessé de l’utiliser.
Dans une étude publiée le 22 octobre, la société néerlandaise de cybersécurité Eye Security a détaillé son intervention contre le programme de mise à jour vulnérable de Time4Popcorn, un fork abandonné distribué sous le nom de Popcorn Time. Cette étude ne concerne pas le projet légal distinct qui a commencé à utiliser ce nom en 2025.
Dans son rapport, l’entreprise indique que le programme de mise à jour du service, présent sur des millions d’appareils, continuait d’envoyer des requêtes vers une infrastructure qui n’était plus correctement maintenue. Il s’appuyait sur un trafic non chiffré et ne vérifiait pas l’authenticité des fichiers exécutables téléchargés, créant une voie potentielle permettant à des attaquants de diffuser du code malveillant par l’intermédiaire de ce que les utilisateurs pouvaient prendre pour une maintenance logicielle de routine.
La vulnérabilité, identifiée sous le numéro CVE-2026-30612, affiche un score CVSS de 9,8 sur 10, d’après The Hacker News.
Eye Security a utilisé le mécanisme de mise à jour pour désactiver le programme sur les ordinateurs Windows et macOS qui ont répondu, réduisant ainsi l’exposition sans éliminer le risque sur l’ensemble des installations. Les utilisateurs d’Android devraient désinstaller l’application, car son programme de mise à jour est intégré à l’application et ne peut pas être désactivé séparément.
Ce qui s’est réellement passé
Time4Popcorn, une application torrent abandonnée autrefois utilisée pour regarder en streaming des films et séries TV piratés, avait été abandonnée des années auparavant. Cependant, son programme de mise à jour en arrière-plan tentait toujours de contacter son ancien domaine de mise à jour. Même si le domaine avait expiré, les ordinateurs sur lesquels le programme était installé continuaient de lui envoyer des requêtes périodiques.
Eye Security a découvert cette activité par hasard lors d’une recherche de routine sur les menaces, après avoir constaté que l’ordinateur portable d’un client tentait à plusieurs reprises d’accéder à un domaine non enregistré. Lorsque les chercheurs ont enregistré le domaine pour enquêter, ils ont observé environ 50 requêtes par seconde.
Pour mesurer l’ampleur de l’exposition, l’entreprise a surveillé les requêtes entrantes pendant six mois et recueilli plus de 3,8 millions d’identifiants matériels distincts. Cependant, ces identifiants ne représentaient pas forcément des ordinateurs individuels.
La société de cybersécurité a revu son estimation à la hausse : entre 2,5 et 3 millions d’ordinateurs Windows et entre 250 000 et 350 000 Mac pourraient être concernés par le programme de mise à jour vulnérable.
Le problème ne se limitait pas au nombre d’appareils et au volume de requêtes. Il concernait également les types d’appareils qui tentaient d’accéder au service. Selon les chercheurs, les connexions provenaient de réseaux résidentiels, professionnels, gouvernementaux et militaires, même si leur seule présence ne confirme pas que ces organisations avaient été compromises.
Le danger résidait dans ce que le programme de mise à jour pouvait faire, et non simplement dans le volume de requêtes. Il communiquait par l’intermédiaire d’un trafic non chiffré et acceptait les fichiers exécutables téléchargés sans en vérifier l’authenticité, tout en s’exécutant avec des privilèges SYSTEM sous Windows et des privilèges root sous macOS.
Si un acteur malveillant avait contrôlé le domaine de mise à jour, il aurait pu fournir n’importe quelle charge utile de son choix ; avec ces privilèges système étendus, cette charge utile aurait pu déployer un rançongiciel, dérober des identifiants ou exécuter du code à distance, selon sa configuration.
Désactiver le programme de mise à jour n’a pas éliminé tous les risques
Entre novembre 2025 et mars 2026, Eye Security a utilisé le mécanisme de mise à jour vulnérable pour diffuser du code qui arrêtait et désactivait le programme de mise à jour sous Windows et macOS. L’opération a généré plus de deux millions de téléchargements de mises à jour, tandis que le trafic quotidien de mise à jour a diminué d’environ 98 %.
Fin mars, l’entreprise a transféré ses 15 domaines à la Shadowserver Foundation afin de les rediriger vers un sinkhole. D’autres domaines sont restés sous le contrôle de tiers, et Eye n’a pas déployé de mises à jour sur les appareils Android.
Même sous Windows et macOS, désactiver le programme de mise à jour n’a pas corrigé les autres faiblesses de Time4Popcorn. L’opération a donc neutralisé une voie majeure de compromission sans rendre l’application abandonnée sûre pour autant.
Ce que les équipes de sécurité doivent vérifier au-delà de l’application
La recommandation immédiate consiste à supprimer le logiciel Time4Popcorn concerné. L’avis fournit des instructions pour désactiver le programme de mise à jour sur ordinateur, mais recommande de supprimer complètement l’application. Désactiver un seul composant ne résout pas les autres faiblesses de l’application abandonnée.
Pour les administrateurs, cela signifie qu’il faut vérifier autre chose que l’utilisation actuelle de l’application par les employés. Examinez les inventaires logiciels et les données de télémétrie des terminaux pour repérer les installations, puis recherchez le service de mise à jour Windows ou l’agent auxiliaire macOS identifiés dans l’avis. Sous Android, supprimez l’application plutôt que d’essayer de désactiver un programme de mise à jour distinct.
Après la suppression, vérifiez que les composants associés en arrière-plan ne s’exécutent plus et ne redémarrent pas au démarrage de l’appareil. Examinez les données DNS, proxy et de terminaux disponibles à la recherche de téléchargements de mises à jour ou de lancements d’exécutables inhabituels. La présence de l’application ou d’un trafic réseau associé doit déclencher une vérification visant à déterminer si le programme de mise à jour vulnérable est toujours actif ; ces seuls éléments ne suffisent pas à établir qu’un appareil a été compromis.
La leçon à retenir est d’inclure les applications inutilisées, les extensions de navigateur et les utilitaires en arrière-plan dans les contrôles logiciels de routine. Vérifiez s’ils bénéficient toujours d’un support de sécurité, quels privilèges ils conservent et si leurs mécanismes de mise à jour restent fiables.
La mise à jour des logiciels pris en charge reste essentielle, mais les applications abandonnées exigent une décision de retrait. Les équipes de sécurité doivent documenter leur suppression et en vérifier le résultat, plutôt que de considérer l’absence d’activité des utilisateurs comme la preuve que le logiciel ne présente plus de risque.
À lire aussi : des infrastructures oubliées peuvent également exposer des personnes lors d’une navigation ordinaire, comme l’ont découvert des chercheurs lorsque des domaines de sites web expirés sont devenus un moyen de diffuser des logiciels espions sur iPhone.