Eye Security 远程停用 Time4Popcorn 漏洞更新器

Eye Security 研究人员利用 Time4Popcorn 应用更新机制本身的漏洞，远程下发修复代码，停用了该更新器（CVE-2026-30612）。2025 年 11 月至 2026 年 3 月，Eye 通过这一更新通道向 Windows 和 macOS 用户推送了停用更新器的代码。 该漏洞影响的是会通过未加密 HTTP 连接已废弃域名 popcorntimeupd.xyz、且不验证数字签名就接受可执行文件的 Windows 和 macOS 更新器。任何控制该更新域名的人都能篡改 HTTP 流量，在 Windows 上以 SYSTEM 权限、在 macOS 上以 root 权限执行代码。 Android 用户仍面临风险：安装更新需要用户交互，研究人员无法远程停用移动平台的更新器。此外，Time4Popcorn 应用使用的是 2014 年的严重过时 Chrome 引擎，没有沙箱保护，可能被用于攻击。

AI 根据报道生成 · 26 分钟前更新

还没有足够的连续观测数据，暂不绘制趋势。