この記事でわかること
- 古い非公式版Popcorn Time（Time4Popcorn）の更新ツール「PT.updd」が、Macの乗っ取りにつながる理由
- 研究者が停止用の更新を配信したあとも、Macの確認が必要な理由
- PT.upddが残っていないかを調べる場所と、見つかったときの更新ツールの止め方・アプリ本体の削除方法
昔入れたPopcorn Timeの更新ツールに乗っ取りの欠陥
オランダのセキュリティ企業Eye Securityの研究チームは2026年10月22日、非公式版のPopcorn Time「Time4Popcorn」に含まれる更新ツールへの対応をまとめた調査結果「Operation IXIM」を公開しました。この更新ツールは暗号化されていない通信で更新を取りに行き、届いたプログラムが本物かを確かめないまま実行していました。通信を書き換えられる攻撃者や、更新先のドメインを手に入れた第三者が、偽の更新を送り込めてしまう状態です。
脆弱性はCVE-2026-30612として登録済み。米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、深刻度を10段階中9.8と評価しています。Mac版の対象はバージョン6.2.1.17以前で、開発が止まっているため修正版はありません。Eye Securityは、研究中に更新先へ接続してきた端末をもとに、この更新ツールが入ったMacを25万〜35万台と推計しています。実際に乗っ取られた台数や、現在も残っている台数を示すものではありません。第三者が実際に悪用したかどうかもわかっていません。
Popcorn Timeは、著作権者の許可がない映画やドラマをBitTorrentで再生するアプリとして2014年に登場し、元の開発者は同じ年に公開をやめています。その後、いくつもの派生版が同じ「Popcorn Time」の名前で配られ、Time4Popcornもそのひとつでした。名前だけでは、自分が入れたのがどの版か見分けにくいのが厄介なところ。なお、2025年に始まった新しいプロジェクト「popcorntime.app」は、今回の問題とは関係ありません。
Mac版の「PT.updd」はアプリを開かなくても起動のたびに動く
Mac版で更新を担うのは「PT.updd」というプログラムです。「/Library/LaunchDaemons」にある設定ファイル「PT.updd.plist」によってMacの起動時に自動で立ち上がり、定期的に更新を確認します。動く権限はroot、つまりMacのシステム全体を変更できる最も強い権限です。
問題は、Popcorn Timeを何年も開いていないMacでも、この更新ツールだけは起動のたびに動き続けていたこと。しかも更新先のドメインは開発者が手放しており、多くが未登録か、第三者が保有する状態でした。誰かがドメインを取得して偽の更新を置けば、PT.upddが残るMacでroot権限のプログラムを動かせてしまいます。昔試して、そのまま忘れていたアプリが入口になる構図です。
研究者が停止用の更新を配信、ただし全台に届いたわけではない
Eye Securityは悪用される前に塞ぐため、手放されたドメインを自ら取得し、2025年11月〜2026年3月にこの更新の仕組みを使って、WindowsとMacの更新ツールを止める処理を配信しました。停止用の更新のダウンロードは延べ200万件超。台数ではなく、ダウンロードされた件数です。自社ドメインに届く更新の要求は、約98%減ったとしています。2026年3月下旬には、保有していた15のドメインを非営利団体Shadowserver Foundationへ移しました。
それでも、これで全部片付いたわけではありません。研究報告の時点で、更新ツールが接続するドメインの一部は第三者が保有したままでした。停止用の更新が届かず、更新ツールが有効なまま残っているMacでは、そうしたドメインへの接続を通じて危険が続く可能性があります。
止めたのは更新ツールだけ、Eye Securityはアプリの削除を推奨
停止用の更新が変えたのは更新ツールだけで、アプリ本体はそのまま残ります。Eye Securityによると、Popcorn Time本体は2014年当時のブラウザ技術で作られ、安全のための隔離機能（サンドボックス）が無効のまま。通信も暗号化されておらず、放置されたドメインからプログラムの一部を読み込んでいます。
Eye Securityの勧めは、更新ツールを止めるだけでなく、ソフトを完全に削除することです。今もPopcorn Timeを使っている場合も同じで、使い続けるほど危険が残ります。
MacにPT.upddが残っていないか確認する方法
PT.upddが残っているかは、Finderでフォルダを開けば確かめられます。Finderを開いた状態でShift＋Command＋Gを押すと「フォルダへ移動」が表示されるので、次の2つのパスを1つずつ入力してください。
- 「/Library/PrivilegedHelperTools」：更新ツール本体の「PT.updd」があるかを見る
- 「/Library/LaunchDaemons」：起動用の設定ファイル「PT.updd.plist」があるかを見る
入力するのは、先頭に「~」が付かないシステム側の「/Library」です。ホームフォルダの中の「ライブラリ」とは別の場所にあたります。
アプリ本体はパスを入力する必要はなく、Finderで「アプリケーション」フォルダを開いて、「Popcorn Time」があるかを確かめます。
確認の段階では、見つかったファイルを削除しないでください。どちらのフォルダにも、ほかのアプリがアップデートなどに使うファイルが入っていることがあり、消すとそのアプリが動かなくなるおそれがあります。PT.upddとPT.updd.plistもここでは消さず、次の更新ツールの停止とアプリ本体の削除へ進みます。
PT.upddが見つかれば、Time4Popcornが入っていたと考えられます。停止用の更新はファイルを消すものではないため、ファイルが残っていても更新ツール自体はすでに止まっている可能性があります。ただ、ファイルの有無だけでは、止まっているかどうかまではわかりません。
見つかったら更新ツールを止め、アプリ本体を削除する
「/Library/LaunchDaemons」にPT.updd.plistがある場合は、Eye Securityが案内しているコマンドで更新ツールを止めます。研究元の案内は「launchctl」から始まる形で、ここでは管理者権限で実行するために先頭へ「sudo」を付けています。「ターミナル」アプリを開いて次のコマンドを入力し、Returnキーを押してください。
sudo launchctl unload -w /Library/LaunchDaemons/PT.updd.plist
Macの管理者パスワードを求められたら入力して、もう一度Returnキーを押します。入力中のパスワードは画面に表示されません。Eye Securityの説明では、これでPT.upddは動かなくなり、再起動しても自動では立ち上がらなくなります。エラーが表示された場合は停止できたとはみなさず、入力したコマンドとパスに誤りがないか確かめてください。
PT.updd本体だけが見つかり、PT.updd.plistが見当たらない場合、このコマンドは使えません。研究元が示している停止方法はこのplistを指定するものだけです。この場合も、更新ツールを止められたとはみなさないでください。
「アプリケーション」フォルダにPopcorn Timeがあれば、更新ツールを止められたかどうかにかかわらず、ゴミ箱へ移してアプリ本体を削除します。PT.updd.plistがある場合は、先に上のコマンドで更新ツールを止めておきます。アプリを消しても、別の場所にあるPT.upddとPT.updd.plistまで消えるとは限らないためです。この2つのファイル自体を削除する手順は、研究元は示していません。
アプリ本体を削除しても、PT.upddが残っていて更新ツールを止められたと確認できていない場合は、更新ツールの問題まで片付いたわけではありません。完全に対処できたとはみなさないでください。会社や学校から支給されたMacなら、管理者に相談するのが確実です。
Androidスマホに入れた覚えがある場合は、更新の仕組みがアプリと一体になっているので、アプリを削除するしかありません。
同じ更新ツールはWindows版にもあり、Eye Securityは研究中に接続してきた端末をもとに、Windowsパソコンを250万〜300万台と推計しています。Mac版の確認場所と止め方は、Eye SecurityのCVE-2026-30612の解説ページで確認できます。
