Критические уязвимости в WinRAR позволяют злоумышленникам получать удаленный доступ к системам

Проблема затрагивает миллионы пользователей по всему миру, поскольку WinRAR долгие годы остается одним из наиболее распространенных инструментов для работы с архивами. Уязвимости позволяют обойти базовые механизмы безопасности при распаковке архивов, что приводит к возможности удаленного выполнения кода и сохранения persistence (устойчивого доступа) в корпоративных сетях.

CVE-2025-6218 представляет собой классическую уязвимость обхода каталогов (Directory Traversal). Её суть заключается в том, что WinRAR неправильно обрабатывает относительные пути, содержащие последовательности вроде «..\» или «../». Это позволяет злоумышленнику создать архив, файлы которого при распаковке попадут не в выбранную пользователем папку, а в произвольное место на диске - например, в автозагрузку Windows.

Более сложная и опасная уязвимость CVE-2025-8088 расширяет возможности атаки за счет использования альтернативных потоков данных NTFS (Alternate Data Streams, ADS). NTFS, файловая система Windows, позволяет хранить несколько потоков данных в одном файле, причем большинство стандартных инструментов отображают только основной поток. Злоумышленники могут использовать синтаксис «имя_файла:поток» для скрытия вредоносного кода в альтернативных потоках, что значительно затрудняет обнаружение.

Технические детали показывают, что уязвимости существуют в функциях RARReadHeader и RARProcessFile, которые не выполняют нормализацию и проверку путей. Это означает, что при обработке архивов WinRAR не проверяет, выходят ли пути файлов за пределы целевого каталога распаковки. В результате злоумышленник может указать путь вида «..\..\..\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\malware.exe», и файл будет размещен именно там, где это необходимо для автоматического запуска.

Особенность атак с использованием этих уязвимостей заключается в минимальном взаимодействии с жертвой. Пользователю достаточно просто распаковать полученный архив - никаких дополнительных действий не требуется. Это делает атаку чрезвычайно эффективной в рамках фишинговых кампаний, когда злоумышленники рассылают поддельные документы или программное обеспечение.

По данным исследователей, группа RomCom использовала CVE-2025-8088 в качестве zero-day уязвимости с середины июля 2025 года, нацеливаясь на организации через spear-phishing (целевую фишинговую рассылку). Другая группа, известная как Paper Werewolf (также называемая GOFFEE), применяла аналогичные методы атак против российских целей.

Эксперты предупреждают, что простота эксплуатации этих уязвимостей likely приведет к волне подражательных атак. Злоумышленникам не требуется глубоких технических знаний для создания вредоносных архивов, что значительно снижает порог входа в киберпреступную деятельность.

Производитель WinRAR уже выпустил обновления, устраняющие обе уязвимости. CVE-2025-6218 была исправлена в версии 7.12 Beta 1, а CVE-2025-8088 - в версии 7.13. Пользователям настоятельно рекомендуется обновить программное обеспечение до последней версии и проявлять осторожность при работе с архивами из непроверенных источников.

Корпоративным клиентам рекомендуется не только обеспечить обновление WinRAR, но и усилить мониторинг активности в автозагрузочных папках, а также применять решения для обнаружения аномальной файловой активности, особенно связанной с альтернативными потоками NTFS.

Данный инцидент в очередной раз демонстрирует, что даже проверенное временем программное обеспечение может содержать критические уязвимости, а киберпреступники постоянно совершенствуют методы их эксплуатации.