旧版 Time4Popcorn 更新组件留隐患，约 25 万至 35 万台 Mac 或受影响

据 IT之家 10 月 30 日报道，安全公司 Eye Research 在 10 月 22 日发布的博文中披露，曾以“爆米花时间”（Popcorn Time）名义传播的非官方流媒体应用 Time4Popcorn，在 Mac 上遗留了高风险自动更新组件。即使用户多年没有打开应用，该组件仍可能随开机启动，并连接开发者已经弃用的地址检查更新。研究团队估计，受影响的 Mac 约有 25 万至 35 万台。

应用早已停用，更新程序却仍在工作

此次风险的关键，不在于用户是否继续观看流媒体内容，而在于后台更新机制仍然存活。来源显示，该更新检查程序几乎无条件信任下载的内容，同时拥有修改 Mac 系统的完全权限。这意味着，原本用于维护软件的通道，在维护停止后可能变成高权限的恶意软件分发入口。

随着原开发者停止维护，相关网站域名逐渐失效。如果第三方接管这些地址，理论上便可利用仍在运行的更新组件，向受影响设备推送恶意软件。换言之，用户电脑上的旧程序还在信任一个地址，但地址背后的控制者可能已经改变。

• 触发方式：更新组件随开机运行，不依赖用户主动打开应用。
• 核心隐患：对下载内容缺少有效约束，同时具备高权限。
• 风险来源：被弃用的更新域名可能被其他人接管。
• 识别难点：应用曾使用 Popcorn Time 名称传播，用户未必清楚自己安装的是哪个版本。

研究人员借更新通道停用组件，但处置尚不彻底

Eye Research 表示，团队接管了其中一个被弃用的更新地址。由于已经没有开发者能够发布修复，研究人员选择借助更新机制本身，向超过 100 万台 Mac 和 Windows PC下发指令，禁用这一危险组件，随后将相关域名移交给非营利网络安全组织 Shadowserver Foundation。

需要区分的是，超过 100 万台是此次下发禁用指令涉及的跨平台设备规模，并不等同于受影响 Mac 的估算数量。来源同时指出，目前没有证据显示攻击者曾利用该漏洞实际投放恶意软件，因此不能将潜在分发风险直接描述为已经发生的大规模感染。

不过，这次干预并未修复 Time4Popcorn 的全部安全问题，部分更新地址也仍不在研究团队控制范围内。禁用危险组件降低了相关风险，但不能据此认定所有旧安装都已安全。

影响解读：软件停更后，信任关系不会自动结束

对普通用户而言，这起事件提醒人们，“很久没用”不等于“不再运行”。排查旧软件时，除了应用本体，还应关注它留下的登录项、后台服务和自动更新组件。对于曾安装相关应用、又无法确认版本的用户，不宜仅凭名称判断是否受影响，也不要随意运行来历不明的所谓修复工具。

从软件产业角度看，更新服务的退出机制同样属于安全设计。域名、服务器与客户端权限之间存在长期信任关系，项目停止维护并不会让这种关系自动消失。开发者需要考虑服务关闭后的组件停用、更新内容校验与权限收敛；用户和企业的软件资产管理，也应覆盖那些已经被遗忘、却仍在后台工作的工具。