Um programa abandonado deixou até 3 milhões de computadores Windows e 350 mil Macs à espera de quem quisesse instalar qualquer coisa neles, com permissão total. O caso, revelado pela empresa holandesa Eye Security e publicado pelo BleepingComputer em 23 de outubro de 2026, envolve o Time4Popcorn, uma versão derivada do Popcorn Time, aplicativo de filmes por torrent. O atualizador dele consultava um domínio que ninguém mais controlava.
A história tem final feliz por enquanto: os pesquisadores pegaram o domínio antes de algum criminoso. Mas ela serve de alerta para qualquer empresa que tem, no computador do caixa ou do escritório, aquele programa que alguém instalou um dia e ninguém lembra mais.
O que aconteceu
Segundo o BleepingComputer, os atualizadores do Time4Popcorn para Windows e macOS buscavam novas versões no domínio popcorntimeupd.xyz, abandonado pelos desenvolvedores. A busca era feita por HTTP, sem criptografia, e o programa instalava o executável recebido sem conferir assinatura digital. Quem registrasse o domínio poderia rodar código com o nível mais alto de permissão: SYSTEM no Windows e root no macOS.
A falha recebeu o código CVE-2026-30612. Segundo o THN, que repercutiu o caso em 24/10, a nota é 9,8 de 10, e as versões afetadas são Windows até 6.2.1.18, Mac até 6.2.1.17 e Android até 3.5.0.173.
O que a Eye Security fez
A empresa registrou o domínio e mais 14 relacionados. Entre novembro de 2025 e março de 2026, usou o próprio mecanismo de atualização para enviar um código que parou e desativou o atualizador nos computadores que chamavam o domínio. Segundo o BleepingComputer, foram 2 milhões de downloads dessa correção, e as requisições ao domínio caíram 98% até 1º de março. O código não coletou dados nem apagou arquivos. Depois, a propriedade do domínio passou para a Shadowserver Foundation.
As conexões vinham de provedores residenciais e também de redes corporativas, governamentais e militares. Ou seja: o programa estava em computadores de trabalho.
Por que isso importa para a sua empresa
Não houve ataque conhecido nesse caso, segundo a reportagem. O risco estava em outro lugar: um programa esquecido, com permissão de administrador, que confiava cegamente num endereço da internet. Se o domínio caísse nas mãos erradas, o criminoso não precisaria enganar ninguém nem descobrir senha. Bastaria publicar um arquivo.
O padrão se repete em muitos escritórios pequenos: o player de vídeo baixado de site duvidoso, o programa de PDF gratuito com atualizador próprio, o utilitário que veio junto com a impressora. Cada um é uma porta que ninguém vigia.
Há ainda um ponto específico: no Android, a correção remota não funcionou. Segundo os pesquisadores, o aplicativo usa um motor do Chrome de 2014, sem proteções de isolamento, e a única saída é remover.
O que fazer agora
- Procure o Popcorn Time ou o Time4Popcorn nos computadores e celulares da empresa e desinstale. É a recomendação dos pesquisadores.
- Faça o inventário dos programas instalados. No Windows, em Configurações, Aplicativos; no Mac, na pasta Aplicativos. Desinstale o que ninguém usa.
- Tire o usuário do dia a dia do modo administrador. Sem permissão de administrador, a maioria das instalações escondidas para no aviso.
- Prefira programas com atualização oficial e assinada, baixados do site do fabricante ou da loja do sistema.
- Defina quem pode instalar programa nos computadores da empresa, mesmo que seja uma pessoa só.
O que ainda não se sabe
Não conseguimos ler a publicação original da Eye Security, que bloqueia leitura automática; os números vêm do BleepingComputer e do THN. Não há dados por país, então não se sabe quantos computadores no Brasil tinham o programa. Outros domínios consultados pelo atualizador seguem com terceiros, segundo o THN.
Onde a Oneck entra
Saber o que está instalado e quem tem acesso a quê é a base de qualquer sistema seguro. A frente de Software & Sistemas da Oneck Creative desenvolve e mantém sistemas web com controle de acesso e rotina de atualização, para que a operação da sua empresa não dependa de programa esquecido no computador. Fale com a gente pelo WhatsApp ou conheça a Software & Sistemas da Oneck Creative.
Fontes: BleepingComputer: app Popcorn Time abandonado expôs milhões de dispositivos (23/10/2026); THN: pesquisadores enviam mais de 2 milhões de atualizações (24/10/2026); Eye Security: Operação IXIM.
