CVE-2026-30612

Nome do Software Vulnerável e Versões Afetadas Time4 Popcorn for Windows versões anteriores a 6.2.1.19 Time4Popcorn for MacOS versões anteriores a 6.2.1.18 Time4Popcorn for Android versões anteriores a 3.5.0.174

Descrição Um problema no atualizador em segundo plano permite que um invasor remoto execute código arbitrário com privilégios de SYSTEM ou root. O atualizador busca executáveis via HTTP simples de um domínio abandonado sem realizar verificações de assinatura. O software também utiliza um mecanismo Chrome de 2014 desatualizado que não possui sandbox. Aproximadamente 3 milhões de dispositivos Windows e 350.000 dispositivos macOS foram identificados conectando-se à infraestrutura de atualização vulnerável. O problema é explorado através do componente updater.exe no Windows e do componente PT.updd no macOS.

Recomendações Desinstale o Time4 Popcorn de todos os dispositivos. Como mitigação temporária, desative o componente de atualização. Fixe o certificado TLS do domínio de atualização no cliente. Rejeite qualquer executável que não possua uma assinatura válida antes de gravá-lo no disco ou executá-lo.