详细内容或原文请订阅后点击阅览
WinRAR 缺陷可能允许攻击者控制您的计算机
新的 WinRAR 更新修复了严重的安全漏洞，但如果没有自动更新，许多用户可能会错过该补丁。
来源:Malwarebytes Labs 博客Rarlab 发布了流行的 WinRAR 工具的新版本，以修补可在远程代码执行攻击中被滥用的漏洞。
该问题在 WinRAR 7.23 中已得到修复，但用户必须手动安装新版本，因为 WinRAR 仍然不提供自动更新。他们还需要确保下载符合其系统和语言偏好的版本。
有五种操作系统可供选择（Windows、macOS、Android、Linux 和 FreeBSD），这应该不会太难。更多的人会在选择 64 位、32 位或 ARM 时遇到困难，这需要检查他们的系统规格。
该漏洞的编号为 CVE-2026-14191，影响 WinRAR 和 UnRAR 处理 RAR5 恢复卷 (.rev) 文件的方式，这些文件是用于帮助修复损坏或不完整的存档的可选文件。
这意味着攻击者可以制作一组两个或多个 .rev 文件，使 WinRAR 在其分配的内存之外写入数据。简而言之，恶意恢复卷可以诱骗 WinRAR 将数据写入内存缓冲区末尾，从而损坏其自身的数据，攻击者可以利用这些数据在受害者的计算机上运行恶意代码。
根据欧洲漏洞数据库条目 EUVD-2026-40869，该错误是追踪为 CVE-2023-40477 的 2023 年缺陷的变体，该缺陷也在恢复卷处理代码中被发现。
No automatic updates
缺乏自动更新的问题是用户首先必须意识到有新版本可用。 Although there are third-party tools that can monitor this for system administrators, most home users risk missing it.
WinRAR 中的 2025 漏洞在漏洞修复很久之后就被与俄罗斯结盟的组织用来攻击乌克兰组织。
如何保持安全
除了安装 WinRAR 和/或 UnRAR 的更新版本之外，还有一些常规方法可以确保安全。