Palomits de maíz - UNSPLASH/CORINA RAINER
MADRID, 27 Oct. (Portaltic/EP) -
La aplicación Popcorn Time ha expuesto millones de dispositivos en todo el mundo a ataques de ejecución de código en remoto pese a llevar años abandonada debido a un programa de actualización que seguía activo en segundo plano.
La aplicación Popcorn Time fue, hace algo más de diez años, un portal para ver películas y series 'online' mediante el uso de torrents. Nació como un proyecto de código abierto en 2014 y, aunque la versión original no tardó mucho en desaparecer, pronto aparecieron bifurcaciones que mantuvieron el nombre o usaron uno similar.
De todas ellas, la más popular fue Time4Popcorn, que nació en 2014 y se mantuvo activa hasta 2022, cuando se anunció su cierre definitivo por falta de interés. Una investigación de la firma de seguridad Eye Security que detectó que, pese al cierre, el programa de actualización se ha mantenido todo este tiempo activo en segundo plano, un fallo de seguridad que se ha registrado como CVE-2026-30612.
Como informan en un comunicado, la investigación se inició de manera fortuita durante una búsqueda de amenazas rutinaria, en la que los investigadores detectaron que el portátil de sus clientes estaba ejecutando 'Updater.exe', que intentaba conectarse al dominio popcorntimeupd.xyz --que estaba abandonado-- y a otros registrados como maliciosos en VirusTotal.
Al centrarse en el programa de actualización, descubrieron que pertenecía a Time4Popcorn. Pese a que no se trata de una aplicación en uso, los investigadores indican que el hecho de que 'Updater.exe' siguiera activo significa que un actor de amenazas podía aprovecharlo para ejecutar código remoto, por ejemplo, para instalar un 'ransomware' o crear una 'botnet'.
Asimismo, analizaron el alcance de la amenaza, que cifraron en unos 3 millones de conexiones de clientes Windows y 350.000 de macOS a Time4Popcorn, principalmente de usuarios que en su día habían instalado la aplicación y con el tiempo que habían olvidado de ella, sin llegar a eliminarla de sus equipos.
Ante esta situación, los investigadores de Eye Security decidieron solucionar el problema de seguridad que planteaba 'Updater.exe'. Entre noviembre de 2025 y marzo de 2026, la firma tecnológica distribuyó un código de corrección aprovechando el mecanismo del actualizador, con lo que consiguieron deshabilitarlo.
"Nuestra actualización solo deshabilitó el actualizador. El resto de la aplicación permanece sin cambios, por lo que estos riesgos persisten para quienes aún usan Popcorn Time", señalan desde Eye Security, para simplemente aconsejar a los usuarios que desinstalen la aplicación de sus ordenadores.