ESET 安全研究人员发现，Windows 版本 WinRAR 存在一个零日路径遍历漏洞，已被黑客在实际攻击中利用，可在受害者系统上执行任意代码。该漏洞编号为 CVE-2025-8088，CVSS v3.1 评分为 8.4。攻击者可利用该漏洞劫持用户的解压过程，将恶意文件植入系统中非预期的位置。

在解压文件时，受影响的 WinRAR 版本（包括早期 Windows 版 RAR、UnRAR、便携版 UnRAR 源码，以及 UnRAR.dll）可能被特制的压缩包欺骗，使用压缩包内嵌的文件路径，而不是用户选择的解压路径。

这为攻击者打开了大门，可能导致：

• 将恶意文件放入敏感目录；
• 覆盖关键系统或应用文件；
• 在解压时无需进一步操作即可执行任意代码。
  

ESET 的 Anton Cherepanov、Peter Košinár 和 Peter Strýček 表示，该漏洞已在真实攻击中被武器化。攻击链通常从钓鱼邮件或其他社会工程手段投递的恶意压缩包开始，一旦解压，就会在后台悄无声息地植入并运行恶意软件。

受影响范围

• 受影响：Windows 版 WinRAR 及相关解压组件（RAR、UnRAR、便携版 UnRAR 源码、UnRAR.dll）。
• 不受影响：Unix 版 RAR/UnRAR、Unix 版便携 UnRAR 源码及库，以及 Android 版 RAR。
  

ESET 确认“该漏洞已在野外被利用”，对个人用户和依赖 WinRAR 处理压缩文件的组织而言，威胁极高。作为零日漏洞，这意味着黑客在补丁发布前已掌握并利用了该缺陷。

该漏洞已在 WinRAR 7.13 中修复，用户可从 WinRAR 官方网站获取更新。强烈建议所有 Windows 用户：

• 立即升级至 WinRAR 7.13 或更高版本；
• 避免打开来自不可信来源的压缩包；
• 在解压前，考虑使用最新的终端安全软件扫描压缩文件。