# Popcorn Time esquecido no PC deixava instalar programas à distância em milhões de máquinas: apaga-o

> Uma versão do Popcorn Time abandonada há anos continuava a pedir atualizações a domínios que já não eram de ninguém. Investigadores compraram-nos, desligaram o atualizador em mais de um milhão de computadores e agora pedem a quem ainda tem a app que a desinstale.

- Publicação: MEGAzine (https://megazine.pt/)
- Endereço: https://megazine.pt/seguranca/popcorn-time-esquecido-no-pc-deixava-instalar-programas-a-distancia-em-milhoes
- Categoria: Segurança
- Autoria: Redação
- Publicado: 31 de outubro de 2026
- Etiquetas: Popcorn Time, Vulnerabilidades, Windows, macOS, Malware

## Em resumo

- O atualizador do Time4Popcorn, uma das versões do Popcorn Time, pedia atualizações por HTTP sem cifra e não verificava as assinaturas dos ficheiros.
- Quem controlasse os domínios abandonados podia correr programas com permissões máximas no Windows e no macOS.
- A Eye Security estima entre 2,5 e 3 milhões de PC com Windows e entre 250 mil e 350 mil Mac afetados.
- Entre novembro de 2025 e março de 2026, a empresa usou a falha para desligar o atualizador, sem recolher dados nem apagar ficheiros.
- A app continua insegura: usa um motor do Chrome de 2014 sem isolamento, e no Android o atualizador não foi desligado.

Se alguma vez instalaste o Popcorn Time para ver filmes e séries por torrent e nunca o apagaste, este é um bom fim de semana para o fazer. A empresa de cibersegurança Eye Security revelou a 22 de outubro que uma das versões mais espalhadas da aplicação, o Time4Popcorn, deixou durante anos milhões de computadores à mercê de quem controlasse vários domínios abandonados. Os investigadores dizem ter neutralizado a parte mais grave do problema, mas recomendam que a app seja desinstalada.

O Popcorn Time original foi encerrado em 2014 e deu origem a várias cópias que continuaram a usar o mesmo nome, por isso muita gente não sabe exatamente que versão tem. A Eye Security encontrou o problema ao investigar um processo chamado Updater.exe num portátil de um cliente, que tentava contactar um domínio que já não estava registado.

## Um atualizador sem dono

O atualizador do Time4Popcorn corre em segundo plano, mesmo que nunca abras a aplicação. Pedia novas versões por HTTP, sem cifra, e corria o ficheiro que recebesse sem confirmar a assinatura digital, com permissões de sistema no Windows e de administrador (root) no macOS. A falha tem o código CVE-2026-30612.

A Eye Security registou o domínio e, em seis meses, contou mais de 3,8 milhões de identificadores de máquinas a pedir atualizações. Depois de afinar as contas, estima entre 2,5 e 3 milhões de PC com Windows e entre 250 mil e 350 mil Mac, ligados a partir de redes domésticas, de empresas e até de redes governamentais e militares. Segundo os investigadores, nenhum destes utilizadores parecia estar a usar a app: tinham-na instalado e esquecido.

Entre novembro de 2025 e março de 2026, a empresa usou o próprio atualizador para enviar um pequeno programa que o parava e desligava, sem recolher dados nem apagar ficheiros. Foram mais de dois milhões de descargas e, a 1 de março, os pedidos tinham caído 98%. Os 15 domínios que conseguiu registar passaram para a Shadowserver Foundation, uma organização sem fins lucrativos, mas alguns continuam nas mãos de terceiros.

## O que deves fazer

A correção remota só desligou o atualizador. A app usa um motor do Chrome de 2014, sem o isolamento (sandbox) que protege o sistema, e carregava código JavaScript de domínios abandonados. A Eye Security diz ter conseguido, numa prova de conceito, abrir um programa no computador a partir desse código. No Android, onde os investigadores não enviaram nada, o atualizador faz parte da própria app e não pode ser desligado à parte.

Desinstala o Popcorn Time como qualquer outro programa e confirma depois que não sobraram estes ficheiros, indicados pela Eye Security:

- Windows: C:\Program Files\Popcorn Time\Updater.exe
- macOS: /Library/PrivilegedHelperTools/PT.updd

Se encontrares algum deles depois da desinstalação, apaga-o à mão. No telemóvel Android, basta remover a aplicação.