בתוך תיקיית Program Files במחשבים של מיליוני אנשים יושב שירות קטן שממשיך לעבוד כבר שנים. הוא נדלק עם הפעלת המחשב, פונה כל כמה דקות לכתובת באינטרנט ושואל אם יש גרסה חדשה של Popcorn Time, אפליקציה להורדת סרטים שהמשתמש התקין פעם ושכח ממנה. הכתובת לא הייתה רשומה לאף אחד, עד שחברת האבטחה ההולנדית Eye Security רשמה אותה על שמה.

מה קרה

Popcorn Time הייתה אפליקציה עם מסך שנראה כמו נטפליקס, שבפועל הורידה את התוכן ברשת BitTorrent ובלי זכויות. הפרויקט המקורי נסגר מסיבות משפטיות, אבל גרסאות המשך המשיכו לפעול תחת אותו שם, והנפוצה שבהן נקראת Time4Popcorn. גם היא נזנחה, ומי שהתקין אותה נשאר עם רכיב עדכון פעיל שאף אחד לא מתחזק.

הרכיב הזה מתעדכן בדרך שאסור להתעדכן בה. הוא מוריד את קובץ העדכון בחיבור לא מוצפן, כך שכל מי שיושב בדרך בין המחשב לשרת יכול להחליף את מה שמגיע, והוא גם לא בודק שהקובץ חתום בידי מי שאמור לכתוב אותו. בווינדוס הוא רץ בהרשאות SYSTEM, החשבון החזק במערכת, וב-macOS בהרשאות root. החולשה קיבלה את המזהה CVE-2026-30612 ודורגה בציון 9.8 מתוך 10.

כשהחוקרים רשמו את הדומיין הנטוש וראו מה פונה אליו, התמונה הייתה גדולה מהצפוי: עד שלושה מיליון מחשבי Windows ו-350 אלף מחשבי Mac. הפניות הגיעו מחיבורים ביתיים, אבל גם מרשתות של חברות, של גופי ממשל ושל צבאות. אף אחד מהם לא נראה כמי שבאמת משתמש באפליקציה. היא הותקנה פעם, ונשארה. "אם היינו יכולים לשלוח עדכון, היינו יכולים להגיע להרצת קוד על מיליוני מערכות", כתבו ב-Eye Security.

מה שהם עשו אחר כך פחות שגרתי. בין נובמבר 2025 למרץ 2026 הם שלחו דרך אותו מסלול עדכון קוד שמכבה את שירות העדכון ומשאיר אותו מושבת, ולפי הדיווח שלהם הוא לא אסף מידע ולא מחק קבצים. שני מיליון מחשבים הורידו את הכיבוי, ועד הראשון במרץ מספר הפניות לדומיין צנח ב-98 אחוזים. את הדומיין הם העבירו מאז לעמותת Shadowserver, שמנטרת תשתיות נטושות מהסוג הזה.

למה זה חשוב לכם

Popcorn Time הייתה פופולרית מאוד גם בישראל בשנים שבהן הורדת סרטים הייתה הדרך המובנת מאליה לראות תוכן, ורוב מי שהתקין אותה כבר עבר מזמן לשירותי סטרימינג. הבעיה היא שהתוכנה לא נעלמה מהמחשב כשהפסקתם להשתמש בה, ושירות העדכון שלה נדלק מאז בכל הפעלה.

הכיבוי שהחוקרים שלחו עובד רק על Windows ו-macOS, ורק על מחשבים שהיו דלוקים ומחוברים לאינטרנט באותו חלון זמן. באנדרואיד רכיב העדכון יושב בתוך האפליקציה ומבקש מהמשתמש לאשר התקנה, ולכן אותו לא היה אפשר לכבות מרחוק. מעבר לכך, האפליקציה בנויה על מנוע Chrome מ-2014 בלי מנגנוני בידוד, כך שגם עם שירות עדכון מושבת היא לא תוכנה שכדאי להריץ.

מה עושים?

חפשו ברשימת התוכנות המותקנות במחשב את Popcorn Time או Time4Popcorn והסירו אותן לגמרי. זו ההמלצה של החוקרים עצמם, ולא רק כיבוי של רכיב העדכון.

בטלפון אנדרואיד בדקו ברשימת האפליקציות אם Popcorn Time עוד מותקנת, והסירו אותה. שם אף אחד לא כיבה בשבילכם את רכיב העדכון.

עברו על שאר התוכנות הישנות שהתקנתם ולא נגעתם בהן שנים, ומחקו את מה שאינכם צריכים.

מיליוני מחשבים חיכו כאן שנים שמישהו יענה לכתובת שהם פונים אליה, ובמקרה הזה זה היה חוקר אבטחה. זה היה יכול להיות גם מי שמוכר גישה לרשתות.