Antara bulan November 2025 hingga Maret 2026, firma keamanan siber asal Belanda, Eye Security, menyalurkan lebih dari dua juta pembaruan perangkat lunak ke perangkat komputer milik publik. Tindakan ini dilakukan demi mematikan modul pembaruan otomatis di latar belakang yang berisiko memberikan akses penuh kepada penyerang siber untuk mengambil alih kendali sistem komputer.
Komponen pembaruan tersebut merupakan bagian dari Time4Popcorn, salah satu turunan proyek Popcorn Time yang telah lama ditinggalkan pengembangnya. Popcorn Time adalah aplikasi gratis populer untuk memutar film dan serial televisi bajakan lewat protokol BitTorrent. Layanan resminya ditutup pada 2014, kendati tiruannya terus beredar memakai nama serupa. Proyek independen legal yang mulai menggunakan nama Popcorn Time pada awal 2025 dipastikan sama sekali tidak terkait dengan peranti lunak lawas ini.
Eye Security menemukan kejanggalan tersebut saat memantau ancaman pada laptop kerja salah satu klien. Program bernama Updater.exe berulang kali berupaya menghubungi domain situs web kedaluwarsa. Pihak perusahaan kemudian mendaftarkan domain itu guna menyelidiki pihak yang mencoba tersambung. Hasilnya mencatat sekitar 50 permintaan masuk ke peladen setiap detik. Operasi yang diberi nama Operation IXIM ini dipaparkan dalam laporan teknis dan presentasi di konferensi Hack.lu pada 22 Oktober.
Selama enam bulan pengamatan, puluhan juta permintaan lalu lintas web memuat lebih dari 3,8 juta tanda pengenal perangkat keras (hardware ID) unik. Karena komputer Windows kerap memakai pengenal identik dan Mac sering menggantinya, Eye Security merevisi estimasi perangkat terdampak menjadi 2,5 hingga 3 juta komputer Windows serta 250.000 hingga 350.000 komputer Mac.
Program pembaruan tersebut berjalan terus di latar belakang sistem Windows dan Mac sejak pertama kali dinyalakan. Program ini rutin memeriksa rilis versi baru melalui saluran transmisi tanpa enkripsi, lalu memasang berkas yang diterima dengan hak administratif tertinggi—hak SYSTEM di Windows dan root di Mac—tanpa memverifikasi keaslian pengirim. Karena alamat web pembaruan telah lama kedaluwarsa, Eye Security menjelaskan siapa pun yang mendaftarkan domain yang tepat dapat mengeksekusi kode berbahaya di semua perangkat yang terhubung.
Dengan hak istimewa tersebut, penyerang dapat menyebarkan ransomware, mencuri kredensial, atau menggabungkan komputer ke jaringan botnet raksasa. Sampel alamat IP yang terhubung mencakup komputer rumahan, jaringan instansi pemerintah, basis militer, dan korporasi swasta, meski Eye Security menegaskan sulit menarik kesimpulan pasti hanya dari data sebaran itu.
Celah kritis ini dilaporkan pada bulan Juni dan terdaftar sebagai CVE-2026-30612 dengan skor keparahan 9,8 dari 10 oleh Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA). Celah keamanan tersebut memengaruhi tiga varian perangkat lunak Time4Popcorn:
Memanfaatkan Celah Pembaruan untuk Melumpuhkan Dirinya Sendiri
Karena tidak ada pengembang yang memelihara aplikasi dan tambalan resmi tidak akan pernah dirilis, Eye Security memanfaatkan mekanisme pembaruan itu sendiri. Setelah berkonsultasi hukum, perusahaan menyalurkan pembaruan khusus yang bertugas tunggal: menonaktifkan layanan pembaruan secara permanen tanpa menghapus data pribadi maupun mengumpulkan informasi dari perangkat pengguna.
Langkah ini disandingkan dengan Operation Ladybird pada 2021, saat kepolisian Belanda menyebarkan pembaruan jarak jauh guna melumpuhkan infeksi botnet Emotet. Namun, Eye Security menekankan perbedaan mendasar: korban Emotet tidak pernah sengaja memasang malware, sedangkan pemakai Popcorn Time memasangnya sendiri. Kendati begitu, perusahaan menyatakan tidak ada pengguna yang bermaksud membiarkan program pembaruan terbengkalai aktif di latar belakang sistem selama bertahun-tahun.
Setelah pembaruan disebar, seseorang mengunggah berkas tersebut ke VirusTotal sehingga sejumlah mesin antivirus menandainya sebagai malware karena menghentikan layanan Windows. Memblokir berkas ini justru membiarkan celah pembaruan tetap terbuka, sehingga Eye Security merekayasa ulang kode hingga hanya tersisa satu mesin pemindai yang masih mendeteksinya sebagai ancaman.
Pada Desember 2025, Eye Security memperbarui lebih dari 1 juta sistem rentan dan memangkas volume lalu lintas koneksi ke domain mereka hingga 90 persen. Menjelang 1 Maret, distribusi pembaruan menyusut menjadi sekitar 5.000 per hari, setara penurunan aktivitas 98 persen. Mengingat sisa perangkat rentan dinilai terlalu sedikit untuk dimanfaatkan operator botnet, Eye Security menghentikan distribusi setelah menyalurkan total lebih dari 2 juta unduhan pembaruan keselamatan.
Akhir Maret, Eye Security menyerahkan 15 domain yang mereka kuasai kepada The Shadowserver Foundation, organisasi nirlaba yang berfokus mengamankan domain internet terbengkalai dan berbahaya. Catatan pendaftaran publik domain popcorntimeupd[.]xyz telah dialihkan secara resmi ke peladen sinkhole Shadowserver tertanggal 20 Maret 2026. Di sisi lain, beberapa domain lain yang dihubungi modul updater masih dimiliki pihak ketiga di luar kendali Eye Security, sehingga komputer yang rutin memanggil domain-domain tersebut tetap terancam bahaya.
Eye Security tidak menemukan bukti penyebaran kode perusak dari domain-domain tersebut karena domain pihak ketiga umumnya hanya diparkirkan atau dijual kembali. Kerentanan ini juga belum masuk dalam katalog kerentanan tereksploitasi aktif CISA per 23 Oktober 2026.
Langkah Pengamanan yang Harus Dijalankan Pengguna Popcorn Time
Mematikan modul pembaruan belum menuntaskan seluruh problem keamanan. Eye Security menegaskan Popcorn Time memakai mesin peramban usang tahun 2014 tanpa isolasi keamanan (sandbox), memuat konten tanpa enkripsi, serta kerap mengunduh kode dari domain terbengkalai lain. Eye Security sempat mendaftarkan domain-domain tersebut dan menyusun bukti konsep (proof of concept) yang membuktikan eksekusi kode saat aplikasi dibuka. Paket pembaruan yang disebar sebelumnya hanya mematikan updater, sehingga sisa komponen aplikasi tetap menyimpan bahaya besar.
Eye Security menganjurkan pengguna menghapus seluruh instalan Popcorn Time secara menyeluruh. Pengguna Windows sejatinya bisa mematikan layanan secara manual lewat dua baris perintah untuk menghentikan dan menonaktifkan “Update service”, sementara pengguna Mac dapat mengeksekusi satu baris perintah untuk menghapus helper PT.updd. Kendati demikian, menghapus aplikasi secara utuh tetap opsi teraman karena mematikan updater saja membiarkan kelemahan inti aplikasi.
Pada perangkat Android, modul pembaruan menyatu di dalam aplikasi utama, tidak dapat dimatikan terpisah, dan membutuhkan persetujuan manual untuk pemasangan. Akibatnya, Eye Security tidak mendistribusikan pembaruan ke Android, sehingga mencopot aplikasi menjadi satu-satunya perlindungan mutlak bagi pemakai ponsel.
Guna melindungi jaringan internal, administrator keamanan dapat melacak keberadaan berkas Updater.exe di Windows serta PT.updd di Mac, sembari mengawasi lalu lintas menuju 20 domain sasaran beserta nilai hash berkas yang tercantum di laporan resmi Eye Security.
