[해외보안뉴스] 방치된 팝콘 타임(Popcorn Time) 앱, 수백만 기기를 RCE 공격에 노출
· 2026-10-23 21:00
· 조회 11
· 원문 ↗
인기 비트토렌트 미디어 스트리밍 클라이언트인 Popcorn Time의 포크 버전 'Time4Popcorn' 앱에서 치명적인 보안 취약점이 확인되었습니다. 보안 연구원들은 이 방치된 애플리케이션의 자동 업데이트 시스템에 존재하던 취약점을 원격으로 비활성화하여, 공격자가 수백만 대의 컴퓨터에서 높은 권한으로 악성 코드를 실행할 수 있었던 원격 코드 실행(RCE) 위험을 차단했다고 밝혔습니다.
이 앱은 개발 및 관리가 중단된 상태였음에도 불구하고 여전히 수백만 명의 사용자 기기에서 작동하고 있었습니다. 분석 결과, 앱의 업데이트 메커니즘이 암호화되지 않은 HTTP 연결을 통해 통신하고 있어, 동일한 네트워크상의 공격자가 중간자(MitM) 공격을 통해 업데이트 요청을 가로채고 정상 파일 대신 악성 바이너리를 주입할 수 있는 구조였던 것으로 나타났습니다.
연구진은 취약점이 악의적으로 악용되는 것을 막기 위해 앱이 참조하던 업데이트 도메인을 제어하고 업데이트 기능을 안전하게 비활성화하는 조치를 완료했습니다. 이번 사건은 더 이상 보안 패치가 제공되지 않는 방치된 소프트웨어가 사용자 시스템에 심각한 위협이 될 수 있음을 보여줍니다. 따라서 사용자는 Time4Popcorn과 같이 지원이 종료된 애플리케이션을 즉시 삭제하고 안전한 정품 소프트웨어만 사용하는 것이 권장됩니다.
♥ 추천 0
프로젝트 관리 중단(EOL) 후 방치된 자동 업데이트 기능은 RCE 공격의 최적의 통로가 됩니다. 업데이트 파이프라인 구축 시 암호화 서명을 통한 무결성 검증과 최소 권한 원칙(Least Privilege) 적용은 선택이 아닌 필수입니다. 오픈소스 포크나 서드파티 라이브러리를 도입할 때도 보안 패치 유지보수와 안전한 서비스 종료(Kill-switch) 플랜을 아키텍처 단계부터 고려해야 합니다.
방치된 소프트웨어의 취약한 자동 업데이트 메커니즘은 공격자가 도메인 탈취나 MitM(중간자) 공격을 통해 단번에 높은 권한의 RCE를 달성할 수 있는 최상의 초기 침투(Initial Access) 벡터입니다. 수백만 대의 디바이스가 패치 없이 노출되어 있었다는 점은 APT 공격 그룹이나 랜섬웨어 유포자가 대규모 봇넷을 구축하기에 더없이 완벽한 환경이었음을 의미합니다. 침투 테스팅 관점에서도 타깃 시스템 내부에서 사용자에게 잊혀진 레거시 애플리케이션의 업데이트 채널을 점검하는 것은 대단히 위협적이고 유효한 공격 포인트가 됩니다.
방치된 미인가 애플리케이션이나 P2P 프로그램이 조직의 엔드포인트를 노리는 치명적인 RCE 공격 통로가 될 수 있음을 보여주는 경고입니다. 임직원의 Shadow IT 사용을 통제하고 사내 자산의 가시성을 철저히 확보하는 것은 보안 거버넌스의 기본입니다. 중앙 통제(EDR/매체제어) 시스템을 통해 비인가 소프트웨어 설치를 차단하고, 레거시·방치 애플리케이션에 대한 전수조사 및 즉각적인 제거 정책을 강화하겠습니다.