放置されたストリーミングアプリのバックグラウンドアップデーターが、ユーザーが使わなくなってから何年も稼働し続けたため、数百万台のコンピューターがリモートコード実行の危険にさらされていた。
オランダのサイバーセキュリティ企業Eye Securityは10月22日に公開した調査で、Popcorn Timeの名称で配布されていた放置済みフォーク、Time4Popcornの脆弱なアップデーターに対して同社が実施した対応の詳細を明らかにした。この調査は、2025年に同じ名称を使い始めた別の合法プロジェクトには当てはまらない。
同社は報告書で述べているところによると、数百万台のデバイスに存在するこのサービスのアップデーターは、適切に保守されなくなったインフラへのリクエストを送り続けていた。アップデーターは暗号化されていない通信に依存し、ダウンロードした実行ファイルの真正性も検証していなかったため、ユーザーが通常のソフトウェア保守だと思っていた可能性のある処理を通じて、攻撃者が悪意あるコードを送り込める潜在的な経路となっていた。
CVE-2026-30612として特定されたこの脆弱性は、The Hacker Newsによると、報告されているCVSSスコアが10点満点中9.8点だ。
Eye Securityはこの更新メカニズムを利用し、応答したWindowsおよびmacOSコンピューターでアップデーターを無効化した。これにより影響を受ける範囲は縮小したものの、すべてのインストール環境でリスクがなくなったわけではない。Androidユーザーはアプリをアンインストールすべきだ。アップデーターがアプリケーションに組み込まれており、個別に無効化できないためだ。
実際に起きたこと
かつて海賊版の映画やテレビ番組のストリーミングに使われていた放置済みのトレントアプリ、Time4Popcornは、何年も前に提供を終了していた。しかし、バックグラウンドアップデーターは以前の更新用ドメインへの接続を試み続けていた。ドメインの有効期限が切れた後も、アップデーターがインストールされたコンピューターは定期的にリクエストを送り続けていた。
Eye Securityがこの活動に気づいたのは、ある顧客のノートパソコンが未登録のドメインへの接続を繰り返し試みていることを、通常の脅威ハンティング中に発見したのがきっかけだった。調査のため研究者がそのドメインを登録すると、1秒あたり約50件のリクエストが確認された。
影響の規模を把握するため、同社は6カ月にわたり受信リクエストを監視し、異なるハードウェア識別子を380万件以上収集した。ただし、これらの識別子が個々のコンピューターを正確に示しているとは限らなかった。
サイバーセキュリティ企業は推計を見直し、脆弱なアップデーターの影響を受ける可能性があるのは、Windowsコンピューターが250万〜300万台、Macが25万〜35万台だとした。
問題はデバイスの規模やリクエスト量だけにとどまらなかった。サービスへの接続を試みていたデバイスの種類も関係していた。研究者によると、接続元には住宅、企業、政府、軍のネットワークが含まれていたが、それらが存在しただけで、該当組織が侵害されたことを確認できるわけではない。
危険性は、リクエストの量ではなく、アップデーターが何を実行できたかにあった。アップデーターは暗号化されていない通信を行い、ダウンロードした実行ファイルの真正性を検証せずに受け入れていた。また、WindowsではSYSTEM権限、macOSではroot権限で実行されていた。
悪意ある攻撃者が更新用ドメインを制御していれば、好きなペイロードを送り込めた可能性がある。広範なシステム権限を持っていたため、そのペイロードは設定次第でランサムウェアの展開、認証情報の窃取、コードのリモート実行などを行えた。
アップデーターを無効化しても、あらゆるリスクがなくなったわけではない
2025年11月から2026年3月にかけて、Eye Securityは脆弱な更新メカニズムを利用し、WindowsとmacOSでアップデーターを停止・無効化するコードを配信した。この作戦によってアップデートのダウンロードは200万件を超え、1日あたりの更新トラフィックは約98％減少した。
3月下旬、同社は15個のドメインをシンクホール化のためShadowserver Foundationに移管した。ほかのドメインは第三者が所有し続けており、EyeはAndroidデバイスには更新を配信しなかった。
WindowsとmacOSでも、アップデーターを停止しただけではTime4Popcornのその他の弱点は解消されなかった。そのため、この作戦は侵害に至る主要な経路には対処したものの、放置されたアプリケーションを安全にしたわけではない。
アプリ以外にセキュリティチームが確認すべきこと
直ちに推奨されるのは、影響を受けたTime4Popcornソフトウェアを削除することだ。Eye Securityのデスクトップアップデーターを無効化する手順を示す勧告では、アプリケーションを完全に削除することを推奨している。1つのコンポーネントを無効化しても、放置されたアプリのその他の弱点は解消されない。
管理者にとっては、従業員が今もアプリを使っているかどうかだけを確認すればよいわけではない。ソフトウェアのインベントリーとエンドポイントテレメトリーを調べてインストール状況を確認し、そのうえで勧告に記載されたWindowsのアップデーターサービスまたはmacOSのヘルパーを確認する必要がある。Androidでは、個別のアップデーターを無効化しようとせず、アプリケーションを削除する。
削除後は、デバイスの起動時に関連するバックグラウンドコンポーネントが実行または再起動されなくなったことを確認する。利用可能なDNS、プロキシ、エンドポイントの記録を調べ、予期しない更新のダウンロードや実行ファイルの起動がないか確認する。アプリケーションや関連するネットワークトラフィックが見つかった場合は、脆弱なアップデーターが稼働し続けていないか確認すべきだ。ただし、それだけでデバイスが侵害されたことが確定するわけではない。
より広い教訓は、使っていないアプリや ブラウザー拡張機能、バックグラウンドユーティリティも、通常のソフトウェアレビューの対象に含めることだ。今もセキュリティサポートを受けているか、どのような権限を保持しているか、更新メカニズムが信頼できる状態にあるかを確認する必要がある。
サポート対象ソフトウェアを更新することは依然として不可欠だが、放置されたアプリケーションについては廃止を決定する必要がある。セキュリティチームは、ユーザーの活動がないことをソフトウェアがもはやリスクをもたらさない証拠とみなすのではなく、削除を記録し、その結果を確認すべきだ。
続きを読む：研究者が明らかにした、忘れられたインフラが通常のブラウジングを通じても人々を危険にさらし得る事例では 期限切れのウェブサイトドメインがiPhoneスパイウェア配信の経路となった。