La aplicación Popcorn Time, cerrada oficialmente en 2022, ha seguido exponiendo a millones de ordenadores en todo el mundo a ataques de ejecución remota de código. El motivo es un programa de actualización que ha permanecido activo en segundo plano pese al abandono del proyecto, una vulnerabilidad que la firma de ciberseguridad Eye Security ha registrado como CVE-2026-30612.
El hallazgo llegó de forma fortuita, durante una búsqueda de amenazas rutinaria en el equipo de un cliente. Los analistas de Eye Security repararon en que el proceso Updater.exe, el programa de actualización de Time4Popcorn (la bifurcación de Popcorn Time más popular y la última en cerrar sus puertas), seguía funcionando y generando tráfico de red años después de que el proyecto diera por terminada su actividad. Así lo recoge la cobertura de la investigación de Eye Security.
En qué consiste el fallo de seguridad de Popcorn Time
El problema es una vulnerabilidad de ejecución remota de código: un atacante puede aprovechar que el actualizador sigue activo para hacer que el equipo ejecute instrucciones a distancia sin que el usuario lo note. Eye Security lo ha catalogado con el identificador CVE-2026-30612.
El riesgo no depende de que alguien siga usando la aplicación para ver películas o series. Basta con que Updater.exe continúe en marcha, algo que ocurre incluso en equipos donde Popcorn Time lleva años sin abrirse. Según explican los investigadores, un actor malicioso podría aprovechar ese proceso activo para instalar ransomware o sumar el ordenador a una botnet, dos de los destinos más habituales de este tipo de accesos no autorizados. El problema afecta por igual a equipos Windows y macOS, puesto que el actualizador funciona de forma independiente del uso que se le dé al resto del programa, de modo que haberla usado en su día o simplemente haberla olvidado no cambia el nivel de exposición real.
Más de 3,3 millones de conexiones detectadas
Eye Security ha medido el alcance real del problema a través de las conexiones de red hacia los servidores de Time4Popcorn: unos 3 millones proceden de clientes Windows y 350.000 de macOS, una suma que ronda los 3,35 millones de conexiones registradas.
La mayoría de esas conexiones corresponden a usuarios que instalaron la aplicación hace años para ver contenido por torrent y que, con el tiempo, se olvidaron de que seguía en el disco duro. Nunca llegaron a desinstalarla, y el actualizador ha permanecido latente desde entonces, conectándose de forma periódica sin que nadie se percatara. Las cifras recogidas por la firma corresponden a conexiones registradas, no a usuarios únicos, aunque sirven para dimensionar cuánta gente podría estar expuesta sin saberlo. La combinación de ambos sistemas operativos confirma que el problema no es exclusivo de Windows, pese a ser el que concentra el mayor volumen de conexiones.
Cómo detectó Eye Security que el actualizador seguía activo
La investigación arrancó sin que nadie la buscara, en el transcurso de una revisión de amenazas rutinaria sobre los equipos de un cliente. Allí, los analistas vieron que Updater.exe seguía en marcha e intentaba comunicarse con un dominio que llevaba tiempo sin uso: popcorntimeupd.xyz.
Ese no era el único destino sospechoso. El actualizador también trataba de conectarse con otras direcciones ya marcadas como maliciosas en VirusTotal. Al tirar del hilo, el equipo de Eye Security confirmó que el programa pertenecía a Time4Popcorn, la bifurcación que cerró en 2022. Un dominio abandonado puede caer en manos de terceros, que lo registran de nuevo para redirigir ese tráfico hacia sus propios servidores: el simple hecho de que un actualizador siga buscando conexión años después del cierre de su creador ya es motivo suficiente de alarma. Ese patrón, un actualizador que sigue llamando a casa años después del cierre de la aplicación, es precisamente el tipo de comportamiento que pasa desapercibido para cualquier usuario sin herramientas de monitorización de red.
Por qué sigue activo años después de cerrar
Entre noviembre de 2025 y marzo de 2026, Eye Security distribuyó un código de corrección aprovechando el propio mecanismo de actualización de Time4Popcorn, lo que le permitió deshabilitar Updater.exe de forma remota en los equipos afectados.
La firma advierte, no obstante, de que su intervención tiene un alcance limitado: «Nuestra actualización solo deshabilitó el actualizador. El resto de la aplicación permanece sin cambios, por lo que estos riesgos persisten para quienes aún usan Popcorn Time», señalan desde Eye Security. Dicho de otro modo, el ordenador deja de intentar conectarse al exterior por esa vía concreta, pero el resto del programa sigue instalado y expuesto a los mismos fallos que arrastraba desde hace años.
Popcorn Time nació en 2014 como un proyecto de código abierto para ver películas y series mediante torrents. La versión original desapareció poco después, pero su naturaleza abierta dio pie a varias bifurcaciones que mantuvieron el nombre original o usaron variantes muy parecidas para captar usuarios. Time4Popcorn fue la más popular de todas: se mantuvo activa desde 2014 hasta 2022, año en que sus responsables anunciaron el cierre definitivo por falta de interés.
El anuncio del cierre, sin embargo, no significó que todos los componentes del programa dejaran de funcionar: el actualizador siguió operando en segundo plano durante cuatro años más, hasta que Eye Security lo detectó por casualidad durante la revisión de un cliente.
Solución si tenéis Popcorn Time instalado
Eye Security es tajante en un punto: desinstalar la aplicación por completo, ya que la corrección aplicada solo neutralizó el actualizador y no el resto del programa. A partir de ahí, como medida general de precaución frente a cualquier software abandonado, podéis seguir estos pasos:
- Buscar en la lista de programas instalados de Windows o macOS cualquier rastro de Popcorn Time o Time4Popcorn y eliminarlo por completo.
- Comprobar si hay otras bifurcaciones con nombres parecidos instaladas en el equipo, dado que el proyecto original se fragmentó en múltiples variantes desde 2014.
- Mantener actualizado el sistema operativo y el antivirus, una práctica habitual para detectar procesos sospechosos como el que ha identificado Eye Security.
Si encontráis Updater.exe en vuestro administrador de tareas, lo más directo es desinstalar Popcorn Time o Time4Popcorn en lugar de limitaros a cerrar el proceso: la corrección de Eye Security solo apagó esa vía de conexión concreta, y el resto del programa sigue sin recibir ningún parche desde que la aplicación cerró en 2022.