Popcorn Time: un actualizador olvidado dejó millones de PC expuestas

Una versión olvidada de Popcorn Time dejó a millones de computadoras con Windows y Mac listas para ejecutar cualquier programa que les mandara quien controlara un simple dominio de internet. Lo descubrió la empresa de ciberseguridad Eye Security, que publicó su investigación el 22 de octubre de 2026 y la presentó en la conferencia hack.lu, en Luxemburgo. El fallo está registrado como CVE-2026-30612.

Popcorn Time fue durante años la aplicación más conocida para ver películas y series por torrent. El proyecto original cerró en 2014, pero siguieron circulando versiones derivadas. Una de ellas, Time4Popcorn, es la que tenía el problema.

#Qué hacía el actualizador de Popcorn Time

Al instalar Time4Popcorn también se instalaba un actualizador que arranca solo cada vez que se enciende la computadora, aunque el usuario no vuelva a abrir la aplicación. Su trabajo era preguntar a unos dominios de actualización si había algo nuevo. El problema está en cómo lo hacía:

• Se conectaba por HTTP sin cifrar.
• No revisaba la firma de los programas que bajaba.
• Ejecutaba lo descargado con el máximo nivel de permisos: como SYSTEM en Windows y como root en Mac.

Mientras esos dominios estuvieran en manos de los desarrolladores, el riesgo era limitado. Pero la aplicación quedó abandonada y los dominios vencieron. Cualquiera que los registrara podía mandar un programa a todos esos equipos y se ejecutaría sin preguntar.

#Cómo lo descubrió Eye Security

Los investigadores vieron en la laptop de un cliente un archivo Updater.exe que intentaba conectarse a un dominio sin registrar, popcorntimeupd.xyz. Lo registraron ellos y, según su informe, empezaron a recibir unas 50 solicitudes por segundo.

En seis meses contaron más de 3.8 millones de identificadores únicos. Con esos datos estiman que había entre 2.5 y 3 millones de PC con Windows y entre 250,000 y 350,000 Mac con el actualizador activo, además de una pequeña parte de teléfonos Android. En Android el riesgo era menor, porque el usuario tiene que aprobar la instalación.

#El mismo truco, al revés

Con el control del dominio, Eye Security usó el propio actualizador para enviar una actualización que lo apaga. Según la empresa, en diciembre de 2025, después de un mes, ya había llegado a más de un millón de equipos, y en marzo de 2026 las solicitudes habían bajado un 98 % tras más de 2 millones de descargas. Después pasó sus 15 dominios a The Shadowserver Foundation, una organización sin fines de lucro dedicada a la seguridad de internet.

Hay dos detalles importantes. Primero, algunos dominios de actualización siguen en manos de terceros, y Eye Security dice que estaban a la venta por miles de dólares. Segundo, apagar el actualizador no vuelve segura la aplicación: según los investigadores, usa un motor de Chrome de 2014 sin aislamiento y carga código desde dominios abandonados.

#Qué hacer si alguna vez instalaste Popcorn Time

Según MacRumors y Cult of Mac, no hay pruebas de que delincuentes hayan aprovechado el fallo. Aun así, la recomendación de Eye Security y de Malwarebytes es clara:

1. Desinstala Popcorn Time y Time4Popcorn de todas tus computadoras.
2. En Windows, revisa que no quede el archivo Updater.exe en la carpeta del programa ni un servicio llamado «Update service».
3. En Mac, comprueba que no existan /Library/PrivilegedHelperTools/PT.updd ni /Library/LaunchDaemons/PT.updd.plist.
4. En Android, desinstala la app en lugar de aceptar cualquier aviso de actualización.

El caso deja una lección que va más allá de Popcorn Time: un programa que ya no usas puede seguir funcionando en segundo plano durante años, y si sus creadores lo abandonan, cualquiera podría heredar el control. Revisar de vez en cuando qué tienes instalado es una de las medidas de seguridad más sencillas.