- Eye Security menemukan pembaru Popcorn Time versi Time4Popcorn masih aktif di jutaan perangkat.
- Pembaru tanpa enkripsi itu bisa menjalankan program apa pun dengan hak akses penuh.
- Eye Security mengirim pembaruan sendiri untuk mematikan layanan itu di lebih dari dua juta unduhan.
- Pengguna disarankan menghapus aplikasi tersebut sepenuhnya.
Cekricek.id — Jutaan perangkat yang masih menyimpan aplikasi Popcorn Time ternyata nyaris bisa dibajak menjadi pasukan botnet. Penyebabnya, komponen pembaru otomatis aplikasi bajakan itu terus berjalan di latar belakang meski pengembangnya sudah lama menghilang.
Melansir laporan The Verge, Jumat (23/10/2026), temuan itu diungkap perusahaan keamanan siber asal Belanda, Eye Security. Celah tersebut ada pada Time4Popcorn, salah satu turunan Popcorn Time yang juga beredar dengan nama Popcorn Time, dan kini tercatat sebagai CVE-2026-30612.
Popcorn Time pernah populer sekitar satu dekade lalu sebagai aplikasi untuk menonton film dan serial dari unduhan torrent. Versi aslinya ditutup pada 2014, tetapi sejumlah turunannya tetap beredar dan masih terpasang di banyak perangkat.
Pakar Utama Keamanan TI Eye Security, Niels Teusink, menjelaskan pihaknya menemukan proses bernama Updater.exe di laptop salah satu klien yang terus menghubungi domain tak terdaftar. Setelah mendaftarkan domain itu, timnya mencatat sekitar 50 permintaan per detik dan lebih dari 3,8 juta ID perangkat dalam enam bulan.
Baca juga Celah PHP2Shell Ancam Jutaan Situs, Wikipedia Ikut Terdampak
Bisa Jalankan Program Apa Saja
Masalahnya, pembaru itu berkomunikasi lewat HTTP tanpa enkripsi dan tanpa tanda tangan kode. Siapa pun yang menguasai salah satu domainnya bisa mengirim program apa pun yang langsung berjalan dengan hak akses penuh di Windows dan macOS, tanpa sepengetahuan pengguna.
Menurut Eye Security, koneksi bukan hanya datang dari pengguna rumahan, tetapi juga dari jaringan pemerintah, militer, dan perusahaan di berbagai negara. Celah ini berpotensi dimanfaatkan pelaku ransomware maupun pencuri kata sandi.
Eye Security akhirnya mengirim pembaruan sendiri untuk mematikan layanan pembaru itu tanpa menghapus berkas apa pun. Sepanjang November 2025 hingga Maret 2026, perusahaan mengaku telah mengirim lebih dari dua juta unduhan pembaruan sebelum menyerahkan domainnya kepada lembaga nirlaba keamanan siber Shadowserver Foundation.
Baca juga Agen AI Akses Rekening Nasabah, Bank-Bank Besar AS Bertindak
Pilihan Sulit Peneliti
Langkah mengirim pembaruan ke perangkat orang lain itu memicu perdebatan etika. Teusink menegaskan timnya tidak punya pilihan yang lebih baik.
“Satu-satunya alternatif nyata yang kami miliki adalah tidak berbuat apa-apa, dan itu sepertinya tidak akan membuat dunia menjadi tempat yang lebih baik,” tulis Teusink dalam blog Eye Security. “Jika kami tidak bertindak, tidak akan ada yang bertindak.”
Eye Security tetap menyarankan pengguna menghapus aplikasi tersebut sepenuhnya. Di Android, pembaru tertanam di aplikasi utama sehingga tidak bisa dimatikan terpisah.
Baca juga Pengiriman PC Dunia Anjlok 21 Persen akibat Harga RAM Melonjak
