Time4Popcorn היא אפליקציה להזרמת סרטים ממשפחת Popcorn Time, שמותקנת ידנית מהאינטרנט ולא מחנות אפליקציות. לפי הרשומה, תוקף מרוחק יכול להריץ דרכה קוד שרירותי על המכשיר, והנתיב עובר דרך הרכיב שאמור לעדכן אותה. הציון הוא 9.8 מתוך 10, ואין ברשומה גרסה שבה הבעיה תוקנה.

מה החולשה?

כל אפליקציה שמעדכנת את עצמה עושה אותו דבר: פונה לשרת, מורידה קובץ ומריצה אותו. מה שמפריד בין מנגנון עדכון תקין לנתיב תקיפה הוא מה שהיא בודקת לפני ההרצה, האם הקובץ אכן הגיע מהיצרן והאם לא שונה בדרך. כשהבדיקה הזאת חסרה, מי שמצליח להחליף את הקובץ שיורד מחליף בעצם את הקוד שהמכשיר יריץ. לכשל הזה קוראים הורדת קוד בלי בדיקת שלמות, והסיווג הוא CWE-494.

הרשומה מצביעה על הרכיבים בשמם: updater.exe בגרסת Windows ו-PT.updd ב-macOS. אלה הקבצים שמבצעים את העדכון, והם גם הנתיב שבו מגיעה הרצת הקוד. את הרכיב המקביל בגרסת Android הרשומה אינה נוקבת בשמו, אף שהיא מונה את הגרסה שלה כפגיעה.

ומה שעושה את זה חמור במיוחד הוא שמנגנון עדכון הוא בדיוק הרכיב שמורשה להריץ קוד חדש. אין כאן באג בפינה נידחת של היישום אלא כשל בתפקיד המוצהר שלו, וכשהבדיקה שאמורה לשמור עליו חסרה, אין בתוך האפליקציה שלב אחר שיעצור את הקוד שהגיע.

הדירוג אומר את השאר: תקיפה מהרשת, בלי הרשאות מוקדמות, בלי שהמשתמש צריך ללחוץ על משהו, ועם פגיעה גבוהה בסודיות, בשלמות ובזמינות. 9.8 מתוך 10.

מי מושפע?

הרשומה מונה שלוש גרסאות כגבול העליון, וכל מה שמתחתיהן בטווח: ב-Windows עד 6.2.1.18, ב-macOS עד 6.2.1.17 וב-Android עד 3.5.0.173. מכיוון שאין בה גרסה מתוקנת, אין גם גרסה שאפשר להצביע עליה ולומר שהיא בסדר.

הקהל כאן אינו מוגדר לפי ארגון או לפי מערכת הפעלה אלא לפי בחירה: מי שהתקין בעצמו אפליקציית הזרמת תוכן מאתר באינטרנט. בישראל, כמו בכל מקום, אלה משתמשים פרטיים על המחשב או הטלפון האישי שלהם, בדיוק המכשירים שבהם יושבים גם החשבונות והסיסמאות.

ושווה לשים לב להבדל ממה שרגילים אליו. אפליקציה שהותקנה מחנות רשמית מתעדכנת דרך החנות, והחנות היא זו שבודקת מי חתם על העדכון. אפליקציה שהותקנה מקובץ שהורד מאתר מתעדכנת דרך המנגנון של עצמה, וכאן המנגנון הזה הוא הבעיה.

האם מנוצלת בפועל?

לא ידוע על ניצול בשטח. החולשה אינה מופיעה בקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, שמרכז חולשות שיש עדות לשימוש אמיתי בהן.

הרשומה גם אינה מתארת תיקון או הודעה של מפתחי האפליקציה, וההפניה היחידה מצד היצרן היא לאתר של המוצר עצמו. חולשה בציון 9.8 שפורסמה ב-27 באוגוסט 2026 ושאין לה גרסה מתוקנת אינה חולשה שממתינים לעדכון שלה, מפני שאין עדכון להמתין לו.

מה עושים?

1. הסירו את האפליקציה. ב-Windows: הגדרות, אפליקציות, אפליקציות מותקנות, חיפוש Popcorn ברשימה והסרה. ב-macOS: תיקיית Applications, גרירה של האפליקציה לאשפה ורוקון האשפה. באנדרואיד: לחיצה ארוכה על האייקון, מידע על האפליקציה, הסרה.
2. בדקו שלא נשאר הרכיב שמריץ את העדכונים. ב-Windows חפשו קובץ בשם updater.exe בתוך תיקיית ההתקנה אם היא נשארה, וב-macOS את PT.updd. אפליקציה שהוסרה חלקית יכולה להשאיר דווקא את הרכיב הזה.
3. אם המכשיר הריץ את האפליקציה לאורך זמן, התייחסו אליו כאל מכשיר שהיה פתוח להרצת קוד: החליפו את הסיסמאות של החשבונות המרכזיים שמחוברים בו, הפעילו עליהם אימות דו-שלבי, והריצו סריקת נוזקות מלאה.
4. ואם בחרתם להשאיר את האפליקציה: הרשומה אינה מציעה הגדרה, מעקף או גרסה שמסירה את הסיכון, והנתיב פתוח כל זמן שרכיב העדכון קיים ויכול לפנות לרשת.