Vous avez peut-être supprimé depuis longtemps une vieille application de streaming de votre Mac, sans savoir qu’un de ses composants peut encore démarrer en arrière-plan. Les chercheurs d’Eye Security ont identifié ce scénario autour de Time4Popcorn, une déclinaison abandonnée de Popcorn Time : son outil de mise à jour PT.updd pouvait rester installé et actif avec des droits très élevés.
Eye Security estime que le mécanisme a pu concerner entre 250 000 et 350 000 Mac. La société avait relevé environ 1,7 million d’identifiants au cours de son enquête, mais explique que les changements de nom d’hôte ou d’adresse matérielle peuvent compter plusieurs fois une même machine. La vulnérabilité est enregistrée sous la référence CVE-2026-30612.
Comment rechercher le composant sur votre Mac
Si vous avez utilisé Time4Popcorn, ouvrez le Finder puis choisissez Aller > Aller au dossier. Saisissez ensuite /Library/PrivilegedHelperTools/ et cherchez le fichier PT.updd. Le fichier chargé de lancer ce service se trouve également dans /Library/LaunchDaemons/PT.updd.plist.
La présence de ces éléments mérite une désinstallation complète de Time4Popcorn. Eye Security souligne que l’arrêt du service de mise à jour ne règle pas les autres risques liés à ce logiciel vieillissant, notamment son moteur de navigateur datant de 2014 et le chargement de JavaScript par des connexions non chiffrées.
Un updater capable d’exécuter du code en root
Le problème vient du statut particulier de PT.updd : ce « privileged helper » pouvait télécharger du code via HTTP, sans contrôle de signature numérique. Ce code s’exécutait alors avec les privilèges root de macOS. D’après Eye Security, une personne contrôlant un ancien domaine de mise à jour, ou en mesure d’altérer le trafic réseau, pouvait ainsi potentiellement lancer des commandes avec le niveau d’accès le plus étendu du Mac.
Face à l’absence des développeurs d’origine, l’entreprise a utilisé ce même circuit de mise à jour afin de désactiver le daemon concerné. Cette action arrêtait le service sans effacer l’application ni toucher aux autres logiciels. Plus de 2 millions de téléchargements ont été distribués pendant la campagne ; ce total ne représente pas nécessairement autant de Mac uniques. Au 1er mars 2026, Eye Security envoyait encore environ 5 000 mises à jour quotidiennes, avant l’arrêt du déploiement et le transfert de 15 domaines à la Shadowserver Foundation fin mars.
Ce que ça change
Cette affaire rappelle qu’effacer une application de son Dock ne garantit pas toujours la suppression de ses composants système. Pour un Mac utilisé au quotidien, vérifier les logiciels anciens installés avec des privilèges administrateur limite les services invisibles qui se lancent à chaque démarrage. Maintenir macOS à jour et laisser actives les protections antimalware intégrées d’Apple restent aussi des réflexes utiles.
Source : Eye Security — rapport de recherche « Operation IXIM »