WinRAR: risolta una vulnerabilità critica con gli archivi

Gli sviluppatori di WinRAR hanno da poco rilasciato un aggiornamento critico urgente per correggere una vulnerabilità di tipo directory traversal, identificata come CVE-2025-6218. Questa falla, classificata con un punteggio CVSS di 7.8, il che la pone ad alta gravità, potrebbe infatti consentire l’esecuzione di codice malevolo dopo l’estrazione di un archivio compromesso.

WinRAR: corretta una falla che avrebbe consentito l’esecuzione di malware da un archivio

La vulnerabilità che interessa WinRAR, scoperta dal ricercatore di sicurezza “whs3-detonator”, è stata segnalata tramite il programma Zero Day Initiative il 5 giugno 2025. Colpisce esclusivamente le versioni per Windows, dalla 7.11 e precedenti, permettendo a un archivio malevolo di ingannare il software, inducendolo a estrarre file in percorsi di sistema, come cartelle di avvio automatico, senza che l’utente se ne accorga.

L’attacco consisteva in un archivio, appositamente creato con dei file con percorsi relativi manipolati, che, una volta estratti, attivano automaticamente codice malevolo al successivo accesso a Windows. Sebbene il malware operi con privilegi di utente e non amministrativi, può comunque compromettere la sicurezza del sistema, rubando dati sensibili come cookie del browser, password salvate o installando meccanismi di persistenza per accessi remoti.

Come funzionava l’exploit

L’exploit richiedeva naturalmente un’interazione da parte dell’utente, che avrebbe dovuto aprire un archivio pericoloso o anche un sito creato di proposito. Il rischio è alto proprio per la grande diffusione di WinRAR, motivo per cui è necessario prestare molta attenzione agli archivi scaricati e aggiornare immediatamente una volta che la correzione, per ora disponibile solo in beta, verrà rilasciata anche nella versione stabile.

Altre correzioni nella prossima versione di WinRAR

Oltre alla falla di sicurezza, l’aggiornamento WinRAR 7.12 beta 1, rilasciato proprio ieri, risolve ulteriori problemi tra cui:

• Iniezione HTML nei report: una vulnerabilità che consentiva l’iniezione di codice HTML/JavaScript nei report generati da WinRAR se i nomi dei file contenevano caratteri come “<” o “>”, rappresentando un rischio se tali report venivano aperti in un browser.
• Problemi minori: correzioni relative al test incompleto dei volumi di recupero e alla perdita di precisione dei timestamp per i record Unix.

Chi volesse già scaricare la versione beta dell’ultima versione di WinRAR, può farlo da qui.