知名压缩软件WinRAR近期被披露存在一项严重安全漏洞，据趋势科技Zero Day Initiative的通报，该漏洞已被编号为CVE-2025-6218，属于“目录穿越”（directory traversal）类型。攻击者可通过精心制作的恶意压缩文件，诱使用户解压延时让文件被写入系统中非预期的位置，进而执行任意程序代码。

这项漏洞由独立安全研究员“whs3-detonator”发现。虽然这类攻击仍需用户进行互动（如手动解压缩），但通过操控压缩文件中目录路径的方式，攻击者可以让WinRAR在解压延时错误地将文件写入系统受限制的目录，进一步造成资讯泄露、系统文件被篡改，甚至可能导致整个系统无法使用。

据CVSS（通用漏洞评分系统）的评估，此漏洞的严重性达到7.8分（满分10分），属于“高风险等级”，对机密性、完整性与可用性都构成重大威胁。

WinRAR母公司RARLAB已在最新测试版中修补此漏洞，据官方说明，WinRAR 7.11及更早版本、Windows平台上的RAR、UnRAR、UnRAR源码与UnRAR.dll均受到影响；不过Unix平台版本的RAR、UnRAR、UnRAR函数库与Android版则未受波及。

官方建议用户应尽快手动更新至WinRAR 7.12 Beta 1测试版，以避免遭受CVE-2025-6218所造成的安全风险。

WinRAR全球活跃用户超过5亿人，因此经常成为黑客与恶意软件开发者的攻击目标。今年4月，该软件也曾爆出另一项漏洞，使其能在未触发Windows“网络标记”（Mark of the Web, MotW）警示下直接执行网络下载文件。不过该问题已在WinRAR 7.11的更新纪录中修补，并附有技术细节说明。

使用WinRAR的用户应定期留意官方更新资讯，并尽快升级版本，以确保系统不受潜在攻击威胁。

（首图来源：RARLAB）