近日，趋势科技（Trend Micro）旗下的零日倡议（Zero Day Initiative）报告了流行文件压缩软件WinRAR（WinRAR）中一个严重的安全漏洞。该目录遍历漏洞被标识为CVE-2025-6218，利用了文件压缩工具处理存档文件内目录路径的方式，允许远程攻击者通过创建和分发恶意存档文件执行任意代码。
此漏洞由独立研究员whs3-detonator发现，能使攻击者在受害者的计算机上运行有害代码。尽管攻击成功需要用户交互，但攻击者可在解压过程中操纵WinRAR处理的文件路径，从而欺骗软件将文件放置到预期文件夹之外，进而潜在访问受限制的系统目录。
该漏洞在通用漏洞评分系统（CVSS）中获得7.8/10的高分，这是一个评估安全漏洞严重性的标准化框架。这意味着该漏洞对机密性构成高风险，可能导致敏感数据泄露、系统文件被篡改，甚至使系统完全瘫痪。
RAR实验室（RARLAB）作为WinRAR和RAR文件格式的开发商，已在最新测试版中修复此漏洞。根据补丁说明，WinRAR v7.11（及更早版本）以及Windows版本的RAR、UnRAR、便携式UnRAR源代码和UnRAR.dll均面临风险，而Unix版本的RAR、UnRAR、便携式UnRAR源代码、UnRAR库以及Android版RAR则不受影响。强烈建议用户手动更新至最新版本WinRAR 7.12 Beta 1，以防范CVE-2025-6218漏洞。
鉴于WinRAR在全球拥有超过5亿用户的庞大基数，该软件漏洞常被各类威胁行为者利用。今年4月，曾报道过一个问题，允许软件绕过Windows的“网络标记”（MotW）安全弹窗运行——该弹窗旨在警告用户不要运行从互联网下载的不可信软件。幸运的是，此问题已通过WinRAR v7.11的官方发布说明得到解决，确认了漏洞修复及相关技术细节。
