Antara bulan November 2025 sampai Maret 2026, sebuah perusahaan keamanan siber asal Belanda bernama Eye Security menyalurkan lebih dari 2 juta berkas pembaruan ke berbagai perangkat komputer yang bukan milik mereka. Langkah tersebut diambil guna menonaktifkan fitur pembaru latar belakang yang berpotensi memberi celah bagi pihak asing untuk mengendalikan sistem komputer korban secara penuh.
Komponen pembaru otomatis tersebut adalah milik Time4Popcorn, salinan terbengkalai dari Popcorn Time, sebuah aplikasi gratis terdahulu yang dirancang untuk menonton tayangan film dan serial televisi bajakan lewat protokol BitTorrent.
Popcorn Time meraih popularitas besar sekitar satu dekade silam sebelum versi aslinya ditutup pada tahun 2014. Namun, beberapa versi tiruan terus beroperasi memakai identitas nama serupa. Inisiatif legal terpisah yang memakai nama Popcorn Time pada awal 2025 dipastikan sama sekali tidak berhubungan dengan proyek lama ini.
Pihak Eye Security, yang bertugas memantau jaringan para klien dari ancaman digital, menemukan kejanggalan ini saat melakukan perburuan ancaman siber rutin. Mereka mendeteksi berkas biner bernama Updater.exe pada laptop salah satu klien yang tiada henti menghubungi alamat situs web yang telah kedaluwarsa kepemilikannya.
Melihat situasi itu, Eye Security mendaftarkan sendiri nama domain telantar tersebut demi menganalisis perangkat yang berusaha tersambung ke sana. Sekitar 50 permintaan koneksi masuk membanjiri server mereka setiap detiknya. Pihak perusahaan memaparkan rincian manuver teknis yang dinamai Operasi IXIM ini melalui laporan tertulis serta presentasi di konferensi Hack.lu pada 22 Oktober.
Sepanjang rentang enam bulan penyelidikan, limpahan permintaan jaringan itu membawa lebih dari 3,8 juta tanda pengenal perangkat keras unik yang berbeda-beda. Namun, identitas perangkat keras bukan indikator mutlak untuk menghitung jumlah komputer riil, mengingat sebagian perangkat Windows berbagi identitas yang sama sedangkan sejumlah Mac kerap mengubah pengenal bawaan. Eye Security lantas merevisi perkiraan kalkulasinya menjadi sekitar 2,5 hingga 3 juta komputer Windows dan 250.000 hingga 350.000 komputer Mac.
Program pembaru tersebut beroperasi di latar belakang sistem pada platform Windows maupun Mac sejak komputer dinyalakan. Perangkat lunak ini memeriksa ketersediaan versi teranyar memakai sambungan jaringan tanpa enkripsi. Bahayanya, program langsung memasang paket apa pun yang dikirimkan balik ke mesin dengan tingkat hak istimewa operasional tertinggi, yaitu SYSTEM pada Windows dan level root pada Mac, tanpa melakukan verifikasi identitas pengirim.
Karena alamat web yang dituju telah lama ditinggalkan pengembang aslinya, Eye Security menegaskan siapa saja yang mendaftarkan domain tepat itu bakal leluasa mengirimkan berkas program jahat ke setiap komputer yang terus memanggil tautan tersebut.
Pada komputer yang ditembus dengan hak istimewa puncak itu, pelaku kriminal berpeluang menyusupkan ransomware berbahaya, menguras kata sandi tersimpan, hingga menjerumuskan komputer menjadi armada botnet terdistribusi, jelas Eye Security. Melalui pemetaan terhadap sampel alamat jaringan yang terhubung, firma tersebut mendeteksi para pengguna rumahan di seluruh dunia, termasuk mesin-mesin di dalam jaringan instansi pemerintah, militer, dan korporasi swasta, kendati mereka menambahkan sangat “sulit untuk menarik kesimpulan pasti” semata-mata dari data tersebut.
Eye Security melaporkan kerentanan kritis ini, yang tercatat dengan nomor registrasi CVE-2026-30612, pada bulan Juni. Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) memberikan skor tingkat keparahan sebesar 9,8 dari skala 10 terhadap celah ini, yang diketahui mengancam setidaknya tiga varian rilis dari perangkat lunak Time4Popcorn.
Membalikkan Fungsi Pembaru untuk Melumpuhkan Dirinya Sendiri
Mengingat ketiadaan pihak pengembang resmi yang bertanggung jawab membenahi piranti lunak tersebut serta tidak adanya tambalan keamanan resmi, Eye Security memutuskan memanfaatkan mekanisme pembaru itu sendiri demi melumpuhkannya. Usai berkonsultasi dengan penasihat hukum, mereka menyalurkan paket pembaruan khusus ke jutaan mesin terdampak dengan fungsi tunggal: menghentikan dan menonaktifkan operasional updater secara permanen, tanpa menghapus berkas-berkas lain dan tanpa mengumpulkan data pengguna sedikit pun.
Pihak Eye Security menyamakan tindakan protektif ini dengan Operasi Ladybird pada tahun 2021 silam, ketika kepolisian Belanda meluncurkan pembaruan otomatis ke komputer-komputer yang terjangkit botnet Emotet demi melumpuhkan malware di dalamnya.
Perbedaannya, menurut penjelasan Eye Security, para korban malware Emotet tidak pernah berkeinginan agar komputer mereka terinfeksi, sementara para pengguna Popcorn Time memasang sendiri aplikasi tersebut atas kehendak pribadi. Walau demikian, perusahaan menyatakan, “tidak ada satu pun dari mereka yang dengan sengaja menginginkan sebuah program pembaru terbengkalai terus beroperasi di latar belakang selama bertahun-tahun.”
Sesaat sesudah proses pengiriman berkas pembaruan dimulai, seseorang mengunggah berkas racikan Eye Security tersebut ke VirusTotal. Tak lama berselang, mesin antivirus mulai melabelinya sebagai malware, kesimpulan yang terbilang wajar bagi program yang mematikan layanan Windows. Masalahnya, produk antivirus yang mencekal pembaruan itu justru membuat updater yang rentan tetap aktif di sistem korban. Menghadapi kendala ini, Eye Security merancang ulang struktur kodenya berulang kali hingga menyisakan hanya satu mesin pemindai antivirus saja yang masih menandainya.
Memasuki bulan Desember 2025, Eye Security memperbarui lebih dari 1 juta sistem rentan dan memangkas volume lalu lintas koneksi ke alamat web pantauan mereka hingga 90 persen. Menjelang 1 Maret, pengiriman berkas menyusut drastis ke angka 5.000 pembaruan per hari, yang mengindikasikan penurunan aktivitas hingga 98 persen. Menilai sisa perangkat yang aktif sudah terlalu sedikit untuk memikat operator botnet, Eye Security resmi menghentikan operasinya setelah menyalurkan total lebih dari 2 juta unduhan pembaruan sistem.
Pada pengujung bulan Maret, Eye Security menyerahkan kendali atas 15 alamat web yang mereka amankan kepada Shadowserver Foundation, organisasi nirlaba yang berfokus membersihkan dan membekukan domain telantar serta domain berbahaya dari peredaran, demi menjamin domain-domain kritis itu berada di bawah naungan lembaga tepercaya.
Catatan registrasi domain publik untuk salah satu alamat web tersebut, popcorntimeupd[.]xyz, kini terarah ke server sinkhole milik yayasan Shadowserver, dengan waktu peralihan tercatat pada tanggal 20 Maret 2026. Di sisi lain, beberapa alamat peladen berbeda yang masih terus dihubungi oleh updater tidak pernah berhasil dikuasai Eye Security dan statusnya masih dimiliki pihak luar, sehingga perangkat yang mencoba terhubung ke alamat-alamat tersebut masih rentan terpapar bahaya.
Selama pengamatan berlangsung, Eye Security tidak menjumpai adanya indikasi bahwa ada pihak lain yang menyalurkan kode berbahaya lewat domain-domain tersebut: alamat yang sebelumnya telah didaftarkan individu lain hanya berstatus diparkir atau tengah dipajang untuk diperjualbelikan, bukan digunakan mengirim instruksi pembaruan ke perangkat pemanggil. Kerentanan berbahaya ini belum masuk ke katalog eksploitasi kerentanan aktif milik CISA per 23 Oktober 2026.
Langkah Antisipasi yang Wajib Dilakukan Pengguna Popcorn Time
Menonaktifkan mekanisme pembaru otomatis bukan berarti membuat aplikasi seketika menjadi aman. Eye Security memperingatkan Popcorn Time berjalan memakai mesin peramban usang lansiran 2014 dengan perlindungan sandbox dimatikan, memuat konten melalui sambungan nir-enkripsi, serta menarik skrip tambahan dari alamat web terbengkalai lainnya.
Eye Security turut mendaftarkan domain terlantar pendukung tersebut, yang secara teknis berpotensi memungkinkan mereka mengeksekusi kode perintah buatan sendiri pada setiap komputer begitu aplikasinya dijalankan. Meski tidak melakukannya, mereka sukses merancang konsep pembuktian kerja sistem yang membuktikan risiko keamanan nyata. Pembaruan yang disalurkan sebelumnya murni hanya menyasar modul pembaru, sehingga seluruh modul aplikasi selebihnya tetap memuat risiko ancaman bahaya.
Saran utama Eye Security adalah segera menghapus instalasi Popcorn Time secara menyeluruh. Pengguna juga dapat menonaktifkan program pembaru secara manual: pada sistem Windows melalui dua baris perintah administratif guna mematikan serta menonaktifkan “Update service”, sedangkan pada komputer Mac menggunakan satu baris perintah konsol untuk melepas komponen pembantu PT.updd. Menghapus total aplikasi tetap dinilai opsi yang jauh lebih aman, sebab sekadar menonaktifkan pembaru masih meninggalkan celah kerentanan bawaan aplikasi lainnya di sistem.
Sementara pada ekosistem Android, komponen pembaru sudah tertanam langsung ke dalam paket aplikasi dasar sehingga tidak dapat dimatikan secara parsial, di samping instalasi pembaruan hanya bisa terlaksana bila pengguna menyentuh layar konfirmasi persetujuan secara sadar. Karena alasan rancang bangun tersebut, Eye Security tidak mengirimkan pembaruan otomatis ke perangkat Android. Menghapus tuntas aplikasi dari perangkat seluler adalah satu-satunya solusi perlindungan terbaik.
Guna mengevaluasi keamanan sistem jaringan internal, tim pembela keamanan jaringan disarankan memeriksa keberadaan dua berkas pelaksana updater utama, yakni Updater.exe pada lingkungan Windows dan PT.updd pada Mac, seraya terus memantau rekaman lalu lintas jaringan yang mengarah ke alamat web yang tercantum di dokumen resmi Eye Security, yang merinci ke-20 nama domain beserta hash berkas terkait.
