昔入れたPopcorn TimeでMacに乗っ取りの恐れ〜更新ツールが起動時に動く

非公式版のPopcorn Timeを入れたMacで、更新ツールが乗っ取りに使われるリスクがあったと分かりました。更新ツールはアプリを開かなくても起動のたびに動き、影響は最大35万台との推定です。研究チームが停止用の更新を配信したものの、届いていないMacでは今も動いている可能性があります。

Popcorn Time旧版でMacが乗っ取られる恐れ

セキュリティ企業Eye Securityの研究チームEye Researchは10月22日、非公式版のPopcorn Timeに含まれる更新ツールに、乗っ取りにつながる欠陥があったと発表しました。対象は「Time4Popcorn」と呼ばれるバージョンで、Mac版では「PT.updd」というプログラムが更新を担っています。

PT.upddはMacの起動時に自動で立ち上がり、root権限で更新を実行していました。root権限はMacのシステムを管理する強力な権限で、悪用されると重要なファイルの書き換えや不正なプログラムの実行につながりかねません。

偽の更新を送り込める仕組み

問題は更新の取り方です。PT.upddは暗号化されていない通信で更新先に接続し、届いたプログラムが本物かを示す署名を確かめないまま実行していました。このため、通信の途中でデータ（中身）が改ざんされても検知できない状態でした。

さらに更新先のドメイン（Webサイトの住所）は開発者が手放し、多くが未登録のままか、転売目的の業者が押さえた状態でした。第三者がドメインを取得して偽の更新を置けば、更新ツールが入ったMacで勝手にプログラムを動かせてしまいます。

Eye Researchの推定では、影響を受けたMacは25万〜35万台です。第三者が実際にこの欠陥を悪用したかどうかは分かっていません。通信の安全性に関わる別の事例には、Appleが偽サイトに悪用できる証明書8件を遮断した件があります。

研究者が100万台超に停止用の更新を配信

Eye Researchは、この欠陥を悪用される前に塞ぐため、手放されていたドメインの一部を自ら取得しました。そのうえで2025年11月〜2026年3月、更新の仕組みを逆に使い、各パソコンの更新ツールを止める処理を配信しています。

研究チームによると、停止用の更新は2025年12月までに、100万台を超えるMacとWindowsパソコンへ配信されました。研究チームは2026年3月下旬、持っていた15のドメインを、ネット上の脅威を監視する非営利団体Shadowserverに移しています。

この脆弱性は「CVE-2026-30612」として登録されており、Mac版のバージョン6.2.1.17以前が対象ですが、修正版は提供されていません。ただし、止めたのは更新ツールだけです。アプリ本体は2014年当時のChromeの技術で作られ、安全のための隔離機能（サンドボックス）も無効のまま残っています。

公式とは別物のTime4Popcorn

Popcorn Timeは2014年に登場した、映画やドラマを無料で再生できるアプリです。著作権者の許可を得ていない作品を扱う海賊版のサービスで、最初の開発者は2014年のうちに公開をやめています。

しかし、初期バージョンのソースコードが公開されていたため、ほかの開発者が引き継いだ派生版がいくつも生まれました。Time4Popcornもそのひとつですが、ソースコードは公開されておらず、2025年に始まったpopcorntime.appの新しいプロジェクトとは別物です。

派生版の多くが「Popcorn Time」の名前で配られたため、利用者がどの版かを見分けるのは難しいでしょう。2022年には、別の派生版によるPopcorn Timeの閉鎖も伝えられています。Time4Popcornの更新ツールは、その後もMacに残って動き続けていました。

更新ツールはアプリを開かなくても動く

Macには、アプリを開いていないときも裏で動く「バックグラウンド項目」の仕組みがあります。主な用途は、アップデートの確認やデータの同期です。PT.upddも、こうした裏で動くプログラムのひとつでした。

PT.upddは、「/Library/LaunchDaemons」フォルダにある設定ファイル「PT.updd.plist」によって、Macの起動時に自動で読み込まれます。プログラム本体の置き場所は「/Library/PrivilegedHelperTools」フォルダで、管理者の権限で動く補助プログラムを置くための場所です。

気づきにくい場所で動き続ける

起動時に自動で読み込まれるため、Popcorn Timeを何年も開いていないMacでも、更新ツールは起動のたびに更新先へ接続していました。停止用の更新が届いていないMacでは、今も動いている可能性があります。どちらのフォルダもふだんFinderで目にしない場所で、入れた本人は気づきにくいでしょう。

バックグラウンドで動くアプリの一部を確かめられるのは、「システム設定」の「一般」にある「ログイン項目と機能拡張」です。Appleの説明では、ここでオンにしたアプリは、開いていないときもアップデートの確認などを実行できます。ただし、PT.upddがこの一覧に必ず表示されるとは限りません。

MacにPT.upddが残っていないか確認する手順

PT.upddのファイルが残っているかは、Finderでフォルダを開けば確かめられます。研究チームの停止の処理は更新ツールを動かなくするもので、ファイルの削除までしたとは説明していません。ファイルが見つかっても、更新ツールはすでに止まっている可能性もあるでしょう。

確認する場所は次の通りです。

確かめる場所	開き方	探すもの
PrivilegedHelperTools	Finderの「移動」＞「フォルダへ移動」に「/Library/PrivilegedHelperTools」と入力	PT.updd
LaunchDaemons	同じ方法で「/Library/LaunchDaemons」と入力	PT.updd.plist
ログイン項目と機能拡張	「システム設定」＞「一般」＞「ログイン項目と機能拡張」	心当たりのない項目（PT.upddは表示されない場合あり）
アプリケーション	Finderの「アプリケーション」フォルダ	Popcorn Timeのアプリ

「フォルダへ移動」は、Finderを開いた状態でShift＋Command＋Gを押しても呼び出せます。macOS 27.0.1のMacで確かめたところ、2つのフォルダにはほかのアプリのファイルが並び、PT.upddの名前は見当たりませんでした。

どちらのフォルダにも、AdobeやZoomなど、ほかのアプリがアップデートなどに使う補助プログラムが入っていることがあります。消すとそのアプリが正しく動かなくなるおそれがあるため、PT.updd以外のファイルには手を付けないでください。

更新ツールの止め方とアプリの削除方法

PT.upddが見つかったときは、まず更新ツールを止めます。研究チームの案内をもとにした方法は、「ターミナル」アプリで「sudo launchctl unload -w /Library/LaunchDaemons/PT.updd.plist」と入力するものです。Returnキーを押すとMacのパスワードを求められるので、入力してもう一度Returnキーを押してください。

実行後はPT.upddが動かなくなり、Macを再起動しても立ち上がりません。ただし、研究チームが勧めているのは、止めるだけでなくアプリを完全に削除することです。アプリ本体の古い仕組みは更新で直る見込みがなく、使い続けるほど危険が残ります。

アプリ本体の削除方法

Popcorn Timeのアプリ本体も、「アプリケーション」フォルダからゴミ箱に入れて削除しましょう。アプリを消しても別の場所のPT.upddまで消えるとは限らないので、止める作業を先に済ませておくことが大切です。Android版は更新の仕組みがアプリと一体で、止めるにはアプリを消すしかありません。

同じ更新ツールはWindows版にもあり、研究チームは約250万〜300万台のWindowsパソコンで動いていたと推定しました。2014年の技術のまま止まったアプリが、今もどれだけのパソコンに残っているかは分かっていません。

Photo: Wikipedia