Popcorn Timeフォークのアップデーターが数百万台のPCを危険にさらす

放置されたストリーミングアプリのバックグラウンド・アップデーターが、ユーザーが使わなくなってから何年も動き続けていたことで、数百万台のコンピューターがリモートコード実行の危険にさらされていました。

オランダのサイバーセキュリティ企業Eye Securityは10月22日に公開した調査で、Time4Popcornのアップデーターの脆弱性に対処した経緯を詳しく説明しました。Time4Popcornは、Popcorn Timeの名称で配布されていた放置状態のフォークです。なお、この調査は、2025年にこの名称を使い始めた別の合法的なプロジェクトとは無関係です。

同社の報告書によると、数百万台のデバイスに存在するこのサービスのアップデーターは、適切に管理されなくなったインフラに対してリクエストを送り続けていました。アップデーターは暗号化されていない通信に依存し、ダウンロードした実行ファイルの真正性も検証していませんでした。そのため攻撃者は、ユーザーが日常的なソフトウェアのメンテナンスだと思い込んでいる仕組みを通じて、悪意あるコードを配信できる可能性がありました。

この脆弱性は「CVE-2026-30612」として識別されており、The Hacker Newsによると、CVSSスコアは10点満点中9.8と報告されています。 

Eye Securityはこの更新の仕組みを利用し、応答のあったWindowsおよびmacOSのコンピューターでアップデーターを無効化しました。これによりリスクは低減しましたが、すべてのインストール環境で危険がなくなったわけではありません。Androidユーザーは、アップデーターがアプリ本体に組み込まれていて単独では無効化できないため、アプリをアンインストールする必要があります。

実際に何が起きたのか

Time4Popcornは、かつて違法な映画やテレビ番組のストリーミングに使われていたトレントアプリで、数年前に開発が終了していました。ところがバックグラウンドのアップデーターは、かつての更新用ドメインに接続しようとし続けていました。ドメインはすでに失効していたにもかかわらず、アップデーターが入ったコンピューターは定期的にリクエストを送っていたのです。

Eye Securityがこの動きに気づいたのは、日常的なスレットハンティングの最中でした。顧客のノートPCが、未登録のドメインに繰り返しアクセスしようとしていたのです。調査のために研究者らがそのドメインを登録したところ、毎秒約50件のリクエストが届きました。

同社は影響の規模を把握するため、6カ月にわたって受信リクエストを監視し、380万件を超える固有のハードウェア識別子を収集しました。ただし、これらの識別子が個々のコンピューターを正確に表しているわけではありません。 

同社はその後、脆弱なアップデーターの影響を受けた可能性があるコンピューターを、Windowsで250万～300万台、Macで25万～35万台と見積もり直しました。 

問題は、デバイスの規模やリクエストの量にとどまりません。サービスに接続しようとしていたデバイスの種類にも及んでいます。研究者らによると、接続元は一般家庭、企業、政府、軍の各ネットワークに及んでいました。ただし、接続が確認されたというだけで、これらの組織が侵害されたと断定できるわけではありません。

危険なのはリクエストの量ではなく、アップデーターにできることでした。アップデーターは暗号化されていない通信でやり取りし、ダウンロードした実行ファイルの真正性を検証せずに受け入れていました。しかも、WindowsではSYSTEM権限、macOSではroot権限で動作していました。 

悪意ある攻撃者が更新用ドメインを掌握していれば、任意のペイロードを送り込めたはずです。強力なシステム権限があるため、設定次第でランサムウェアの展開、認証情報の窃取、リモートでのコード実行が可能でした。

アップデーターを無効化しても、すべてのリスクが消えたわけではない

Eye Securityは2025年11月から2026年3月にかけて、この脆弱な更新の仕組みを使い、WindowsとmacOSでアップデーターを停止・無効化するコードを配信しました。この作業で200万件を超える更新ダウンロードが発生し、1日あたりの更新通信量は約98%減少しました。

同社は3月下旬、保有する15のドメインをシンクホール化のためにShadowserver Foundationへ移管しました。一方、ほかのドメインは第三者の所有のままで、EyeはAndroid端末には更新を配信していません。

WindowsやmacOSでも、アップデーターを止めただけではTime4Popcornの他の弱点は解消されません。今回の作業は、侵害につながる主要な経路をふさいだものの、放置されたアプリそのものを安全にしたわけではありません。

セキュリティチームがアプリ以外に確認すべきこと

まず推奨されるのは、影響を受けるTime4Popcornを削除することです。Eye Securityのアドバイザリーにはデスクトップ版アップデーターの無効化手順が掲載されていますが、同社はアプリを完全に削除するよう勧めています。1つのコンポーネントを無効にしても、放置されたアプリの他の弱点は解決しないためです。

管理者は、従業員がまだアプリを使っているかどうかだけでなく、より広く確認する必要があります。ソフトウェア資産一覧やエンドポイントのテレメトリでインストール状況を調べ、アドバイザリーに記載されたWindowsのアップデーターサービスやmacOSのヘルパーがないかを確認してください。Androidでは、アップデーターを単独で無効化しようとせず、アプリ自体を削除します。

削除後は、関連するバックグラウンドコンポーネントが、デバイスの起動時に実行されたり再起動したりしないことを確かめてください。利用可能なDNS、プロキシ、エンドポイントの記録も調べ、不審な更新ダウンロードや実行ファイルの起動がないかを確認します。アプリや関連する通信が見つかった場合は、脆弱なアップデーターがまだ有効かどうかを確認する必要があります。ただし、それだけでデバイスが侵害されたとは言えません。

より広い教訓として、使われていないアプリケーションや ブラウザー拡張機能、バックグラウンドのユーティリティも、定期的なソフトウェア棚卸しの対象に含めるべきです。セキュリティサポートが続いているか、どのような権限を保持しているか、更新の仕組みが信頼できる状態にあるかを確認してください。

サポート対象のソフトウェアを更新することは引き続き重要ですが、放置されたアプリケーションには廃止の判断が必要です。セキュリティチームは、ユーザーの利用がないことをソフトウェアにリスクがない証拠とみなすのではなく、削除を記録し、その結果を検証する必要があります。

関連記事：忘れられたインフラは、通常のブラウジングを通じて人々を危険にさらすこともあります。研究者らは、 失効したウェブサイトのドメインがiPhone向けスパイウェアの配信経路になっていたことを確認しています。