Security · 23.10.2026
Eine Schwachstelle in einem Update-Mechanismus der populären Filesharing-App Popcorn Time gefährdete Millionen Geräte. Sicherheitsforscher schritten nun ein.
Sicherheitsforscher haben eine kritische Schwachstelle im Update-Mechanismus einer weitverbreiteten Abspaltung des BitTorrent-Clients „Popcorn Time“ (bekannt als Time4Popcorn) unschädlich gemacht. Die Sicherheitslücke ermöglichte es Angreifern, Schadcode aus der Ferne mit Systemrechten auf Millionen Computern auszuführen. Da das Projekt seit Jahren verwaist ist, gab es keine offiziellen Updates, weshalb die Forscher zu einer unkonventionellen Methode greifen mussten, um die Gefahr zu bannen.
Obwohl Streaming- und Filesharing-Anwendungen wie Popcorn Time primär im privaten Bereich angesiedelt sind, stellt das Phänomen ein erhebliches Risiko für die Unternehmenssicherheit dar. Sogenannte „Schatten-IT“ – also von Mitarbeitern eigenmächtig auf Firmenrechnern installierte Software – öffnet Angreifern oft unbemerkt Tür und Tor. Da der betroffene Fork über Administrationsrechte auf den Endgeräten verfügte, hätte eine Kompromittierung des Update-Servers fatal enden können. Für IT-Verantwortliche im DACH-Raum verdeutlicht dieser Vorfall einmal mehr, wie wichtig eine strikte Software-Sicherheitsrichtlinie und die Überwachung von Endgeräten sind. Auch anspruchsvolle Privatnutzer sollten sich bewusst sein, dass verwaiste Software, die nicht mehr aktiv gepflegt wird, ein dauerhaftes Sicherheitsrisiko darstellt.
Da das Softwareprojekt nicht mehr gewartet wird und die Entwickler nicht reagierten, haben die Sicherheitsforscher den betroffenen Domain-Namen übernommen und den Update-Mechanismus serverseitig deaktiviert. Dennoch sollten Administratoren und Nutzer sofortige Maßnahmen ergreifen:
Der Fall zeigt eindringlich, wie langlebig die Risiken verwaister Softwareprodukte sind. Nur durch das proaktive Eingreifen externer Forscher konnte eine großflächige Ausnutzung der RCE-Schwachstelle verhindert werden. Für Unternehmen bleibt die konsequente Überwachung installierter Software die beste Verteidigungslinie.
Quelle: BleepingComputer