共计 1307 个字符，预计需要花费 4 分钟才能阅读完成。
原标题：WinRAR 高危漏洞曝光：攻击者可远程执行任意代码
2025/6/26 10:02:29 来源：IT 之家 作者： 远洋 责编： 远洋
感谢 IT 之家网友 Coje_He 的线索投递！
IT 之家 6 月 26 日消息，知名文件压缩软件 WinRAR 被发现存在一个严重的安全漏洞，该漏洞由独立研究人员“whs3-detonator”发现，并通过 Trend Micro 的零日计划（Zero Day Initiative）曝光。该漏洞被编号为 CVE-2025-6218，是一种目录遍历漏洞，攻击者可利用该漏洞操纵文件压缩工具在处理压缩文件中的目录路径时的行为，通过创建和传播恶意压缩文件，远程执行任意代码。
虽然该漏洞的攻击方式需要用户与恶意文件进行交互，但攻击者可以通过操纵 WinRAR 在解压过程中的文件路径，诱使软件将文件放置在目标文件夹之外，从而可能获取对受限系统目录的访问权限。根据通用漏洞评分系统（CVSS）的评估，该漏洞获得了 7.8/10 的高分，表明其对数据保密性构成高风险，可能暴露敏感数据、篡改系统文件，甚至使系统完全无法使用。
IT 之家注意到，WinRAR 的开发公司 RARLAB 已在其最新测试版中修复了这一漏洞。根据补丁说明，WinRAR v7.11 及更早版本，以及 Windows 版本的 RAR、UnRAR、便携版 UnRAR 源代码和 UnRAR.dll 均受影响，而 Unix 版本的 RAR、UnRAR、便携版 UnRAR 源代码、UnRAR 库以及 RAR for Android 则不受影响。该公司强烈建议用户手动更新至最新版本 WinRAR 7.12 Beta 1，以防御 CVE-2025-6218 漏洞。
WinRAR 拥有超过 5 亿的庞大用户群体，其漏洞经常成为各类威胁行为者攻击和利用的目标。今年 4 月，曾有报道指出 WinRAR 存在一个问题，允许软件在没有 Windows“网络标记”（Mark of the Web，MotW）安全弹窗的情况下运行。该弹窗通常用于警告用户不要运行从互联网下载的不可信软件。幸运的是，该问题已在 WinRAR v7.11 中得到修复。
Aurme 站长建议：
立即卸载并更换您的压缩软件，例如 bandizip、7z、360 压缩国际版等
以下是您需要的官方下载地址及相关信息：
1. Bandizip 官方下载地址
- 官网地址：
- 中文版：https://www.bandisoft.com/bandizip/zh/
- 国际版（英文）：https://bandisoft.com/bandizip/en/
- 支持系统：Windows Vista/7/8/10/11（32 位 /64 位 /ARM64）
- 备注：官网提供免费版（基础功能）和付费版（高级功能），推荐从官网下载以确保安全性和更新支持。旧版本 6.29 无广告，但功能较旧，可以酌情使用。
2. 7-Zip 官方下载地址
- 官网地址：https://www.7-zip.org/
- 版本选择：
- 64 位系统：
Download 7-Zip 23.01 (x64) - 32 位系统：
Download 7-Zip 23.01 (x86)
- 64 位系统：
- 备注：7-Zip 是开源免费软件，支持多种压缩格式（如 7z、ZIP、RAR 等），官网提供简洁无广告的安装包。
