Ứng dụng cũ vẫn tạo ra cửa ngõ tấn công
Time4Popcorn là ứng dụng streaming dựa trên torrent, từng giúp người dùng xem phim qua mạng ngang hàng nhưng nay đã bị nhà phát triển bỏ rơi và không còn được duy trì. Điều đáng lo là phần mềm cũ vẫn có thể âm thầm liên hệ máy chủ cập nhật, biến một ứng dụng tưởng đã nằm im thành rủi ro bảo mật thiết bị.
Trình cập nhật của Time4Popcorn kết nối qua HTTP không mã hóa tới tên miền đã hết hoạt động, popcorntimeupd.xyz, rồi chấp nhận tệp thực thi mà không xác minh chữ ký số. Kẻ kiểm soát tên miền hoặc can thiệp đường truyền vì thế có thể phát tán mã độc tới máy tính còn cài ứng dụng. Lỗ hổng được định danh CVE-2026-30612, có mức độ nghiêm trọng 9,8/10. Đây không phải lỗi nhỏ có thể bỏ qua: một cơ chế cập nhật vốn được người dùng tin cậy lại có thể trao quyền chạy mã cho nguồn không được xác thực.
Hàng triệu thiết bị còn để quên ứng dụng
Time4Popcorn là một nhánh phát triển từ Popcorn Time, dịch vụ streaming torrent nổi tiếng hơn mười năm trước. Vì giao diện và cách sử dụng gần giống bản gốc, nhiều người có thể không nhớ mình đã cài nhánh nào; phần mềm cũng dễ bị bỏ quên sau khi ngừng sử dụng.
Các nhà nghiên cứu ghi nhận khoảng 3 triệu máy Windows và 350.000 máy Mac vẫn liên hệ với máy chủ cập nhật; ngoài ra còn có các điện thoại Android, dù số lượng không được nêu cụ thể. Thiết bị thuộc mạng gia đình, doanh nghiệp, cơ quan chính phủ và quân đội đều xuất hiện trong các kết nối. Theo Eye Security, từ tháng 11/2025 đến tháng 3/2026, họ đã đưa mã vô hiệu hóa trình cập nhật tới gần như toàn bộ máy tính được ghi nhận, khiến yêu cầu tới tên miền giảm 98%.
Theo thông tin được công bố, chưa có dấu hiệu cho thấy kẻ tấn công đã khai thác lỗ hổng này. Tuy vậy, việc chưa ghi nhận vụ tấn công không biến ứng dụng bị bỏ rơi thành phần mềm an toàn; người dùng không nên chờ cho đến khi có sự cố mới hành động.
Cách nhận diện và gỡ Time4Popcorn
Hãy kiểm tra danh sách ứng dụng đã cài trên điện thoại Android, cũng như chương trình trên máy Windows và Mac. Tìm tên Time4Popcorn; nếu không chắc ứng dụng nào đang mở hoặc phát nội dung qua torrent, hãy xem lại các chương trình cũ liên quan đến Popcorn Time. Đừng nhầm nhánh Time4Popcorn lỗi thời với một dịch vụ khác mang tên tương tự: mục tiêu cần loại bỏ là bản cũ đã bị bỏ rơi.
- Gỡ Time4Popcorn khỏi từng thiết bị, kể cả máy tính cũ vẫn còn kết nối mạng.
- Khởi động lại thiết bị và kiểm tra danh sách ứng dụng để xác nhận phần mềm đã được loại bỏ.
- Cập nhật hệ điều hành và các ứng dụng còn sử dụng; bật tính năng bảo vệ tích hợp hoặc giải pháp bảo mật đáng tin cậy.
- Rà soát định kỳ phần mềm không còn được hỗ trợ và gỡ bỏ ứng dụng không còn cần thiết.
Các nhà nghiên cứu đã vô hiệu hóa trình cập nhật trên Windows và macOS, nhưng biện pháp đó không gỡ ứng dụng khỏi máy. Với Android, cập nhật từ xa cần người dùng xác nhận trên thiết bị nên không được triển khai âm thầm. Vì vậy, việc chủ động kiểm tra và gỡ cài đặt vẫn là bước cần thiết, thay vì cho rằng thiết bị đã được xử lý hoàn toàn.
Đừng giữ phần mềm không còn được duy trì
Sự cố Time4Popcorn cho thấy ứng dụng bị bỏ rơi có thể nguy hiểm theo cách ít ai ngờ: không cần mở phim hay tải nội dung, trình cập nhật chạy nền vẫn có thể liên lạc với máy chủ cũ. Khi phần mềm không còn được sửa lỗi, người dùng cũng không thể trông đợi nhà phát triển vá lỗ hổng hoặc bảo vệ quy trình cập nhật.
Eye Security cho biết họ đăng ký tên miền cũ và gửi mã để dừng trình cập nhật, không phát tán mã độc hay thu thập dữ liệu thiết bị. Cách ứng phó này giúp hạ nguy cơ, nhưng không thay thế việc gỡ ứng dụng. Lựa chọn an toàn nhất là loại bỏ Time4Popcorn khỏi máy tính và điện thoại, rồi duy trì thói quen rà soát phần mềm đã cài. Với bảo mật thiết bị, một ứng dụng không còn được dùng cũng không nên được giữ lại khi nó vẫn có thể tự kết nối ra ngoài.
