التطبيقات والبرامج

ثغرة حرجة في تطبيق Time4Popcorn تتيح تنفيذ أوامر على ملايين الأجهزة

نجح باحثون أمنيون في تعطيل آلية تحديث ضارة في تطبيق Time4Popcorn، محيدين خطراً وشيكاً كان يهدد ملايين المستخدمين بتحويل أجهزتهم إلى شبكة بوتنت.

رضوان عبدالهاديمحرر وكاتب تقني

نُشر: 24 أكتوبر 2026 · آخر تحديث: 24 أكتوبر 2026 · 3 دقائق قراءة

ثغرة حرجة في تطبيق Time4Popcorn تتيح تنفيذ أوامر على ملايين الأجهزة — الصورة: BleepingComputer

الخلاصة

اكتشف باحثو Eye Security ثغرة CVE-2026-30612 تسمح بتنفيذ أكواد خبيثة بصلاحيات SYSTEM على ويندوز وroot على ماك.
سجّل الباحثون اتصالاً من 3 ملايين جهاز ويندوز و350 ألف جهاز ماك بمجال التحديث المهجور popcorntimeupd.xyz.
تم تعطيل آلية التحديث عن بُعد بين نوفمبر 2025 ومارس 2026، مما أدى إلى انخفاض الطلبات على نطاق التحديث بنسبة 98%.
يظل مستخدمو أندرويد عرضة للخطر لأن التحديث يتطلب تفاعلاً يدوياً، كما أن التطبيق يستخدم محرك Chrome قديماً من عام 2014.
نُقلت ملكية النطاق إلى مؤسسة The Shadowserver Foundation بعد نجاح عملية المعالجة.

اكتشاف ثغرة التنفيذ عن بُعد

أعلن فريق أمني عن إغلاق ثغرة أمنية حرجة في تطبيق Time4Popcorn، وهو أحد الفروع المشتقة من عميل البت تورنت الشهير Popcorn Time. تتبعت الثغرة تحت الرقم CVE-2026-30612، وأثرت على آليات التحديث الخاصة بنظامي ويندوز وماك أو إس. كانت هذه الآليات تتصل بمجال مهجور (popcorntimeupd.xyz) عبر بروتوكول HTTP غير المشفر، وتقبل الملفات القابلة للتنفيذ دون التحقق من التواقيع الرقمية، مما فتح الباب أمام هجمات تنفيذ الأكواد عن بُعد (RCE). ويمكن الرجوع إلى BleepingComputer للاطلاع على التفاصيل الأصلية للمصدر.

آلية استغلال الخطر

وفقاً للتقارير، كان أي شخص يتحكم في نطاق التحديث قادراً على التلاعب بحركة مرور HTTP وتنفيذ الأكواد الخبيثة بصلاحيات SYSTEM على أجهزة ويندوز، وبصلاحيات root على أجهزة ماك أو إس. هذا يعني أن المهاجمين كانوا قادرين على السيطرة الكاملة على الأجهزة المستهدفة دون الحاجة إلى تفاعل إضافي من المستخدم، نظراً لأن التطبيق كان يحاول التحديث تلقائياً في الخلفية. ويمكن الرجوع إلى Bill Toulas للاطلاع على التفاصيل الأصلية للمصدر.

نطاق التأثير والمستخدمون

اكتشف باحثو شركة Eye Security هذا الخطر بعد تسجيلهم لنطاق popcorntimeupd.xyz. لاحظ الفريق اتصالاً من ما يصل إلى 3 ملايين جهاز ويندوز و350 ألف جهاز ماك أو إس بالتطبيق Time4Popcorn. جاءت هذه الاتصالات من مزودي خدمات الإنترنت السكنيين، والشبكات المؤسسية، والحكومية، والعسكرية. ومع ذلك، لم يظهر أن أي من هؤلاء المستخدمين كان يستخدم التطبيق بنشاط، مما يشير إلى أنه تم تثبيته ونسيانه على الأجهزة منذ فترة طويلة.

عملية المعالجة والتعطيل

بعد اكتشاف الخطر، قام الباحثون بتسجيل 14 نطاقاً إضافياً مرتبطاً بالخدمة. بين نوفمبر 2025 ومارس 2026، استخدم فريق Eye الآلية الضارة نفسها لتسليم كود معالجة يقوم بإيقاف وتعطيل محدث التطبيق. أكد الباحثون أن حمولتهم البرمجية لم تجمع أي بيانات عن المضيف أو التلقيمات (Telemetry)، ولم تحذف أي ملفات من أجهزة المستخدمين، مما أبقى أفعالهم ضمن سياق قانوني كامل. خلال الاختبارات، اضطر الفريق لتعديل حمولته البرمجية لتجنب أنظمة مكافحة الفيروسات التي كانت تكتشفها بسبب تعطيلها لخدمة نظام.

نتائج العملية والتسليم

بعد نشر الحل، سجل فريق Eye 2 مليون عملية تنزيل للتحديث، وبحلول الأول من مارس من هذا العام، انخفضت الطلبات على نطاق التحديث الخاص بهم بنسبة 98%. بعد اكتمال عملية المعالجة بنجاح، تم نقل ملكية النطاق إلى منظمة الأمن السيبراني غير الربحية The Shadowserver Foundation. ورغم هذا النجاح، حذر الباحثون من أن الخطر لم يُحسم بالكامل لجميع مستخدمي التطبيق.

المخاطر المتبقية والتوصيات

لا يزال مستخدمو أندرويد عرضة للخطر، حيث يتطلب تثبيت التحديث تفاعلاً من المستخدم، ولم يتمكن الباحثون من تعطيل المحدث عن بُعد للمنصات المحمولة. بالإضافة إلى ذلك، يستخدم تطبيق Time4Popcorn محرك Chrome قديماً جداً من عام 2014، يفتقر إلى حمايات العزل (Sandbox)، مما يجعله عرضة للاستغلال في هجمات أخرى. ينصح الخبراء بأن الإجراء الأمثل للمستخدمين هو إزالة البرنامج بالكامل من أنظمتهم لتجنب أي مخاطر أمنية محتملة.