RARLAB ha publicado WinRAR 7.13 para solucionar CVE-2025-8088, una vulnerabilidad de path traversal que ya se está explotando en ataques reales. La vulnerabilidad permitiría ejecutar código al extraer archivos especialmente preparados, y está vinculada a campañas de phishing recientes.

Si usas WinRAR, debes actualizar de inmediato

WinRAR, uno de los compresores más utilizados en Windows, ha corregido una vulnerabilidad grave ya explotada en la naturaleza y rastreada como CVE-2025-8088. El fallo, descubierto por los investigadores de ESET Anton Cherepanov, Peter Košinár y Peter Strýček, es un traversal de rutas (CWE-35) que permite a un archivo malicioso manipular la ruta de extracción y escribir ficheros fuera del directorio elegido por el usuario, posibilitando la ejecución de código. La entrada de NVD atribuye a la vulnerabilidad una severidad CVSS4 de 8,4 (alta) y la documenta como “explotada en el mundo real”.

Investigadores de ESET han descubierto una nueva vulnerabilidad en WinRAR y es crítica, porque está siendo explotada activamente por el grupo de hackers RomCom, vinculado a Rusia. Se ha lanzado una nueva versión parcheada, pero debe instalarse manualmente.

RARLAB ha publicado WinRAR 7.13 (31 de julio de 2025) indicando de forma explícita que “otra vulnerabilidad de directory traversal, distinta a la de WinRAR 7.12, ha sido corregida”. En sus notas de versión, el proveedor detalla que versiones anteriores de WinRAR (y los componentes RAR/UnRAR para Windows, incluida UnRAR.dll) “pueden ser engañadas para usar una ruta definida dentro de un archivo especialmente diseñado en lugar de la especificada por el usuario”. El problema afecta a Windows; la actualización 7.13 mitiga el vector.

WinRAR es una de las grandes aplicaciones del grupo de software especializado en la gestión de archivos comprimidos. Aunque ZIP sigue siendo el formato más popular, RAR tiene ventajas en rendimiento y nivel de compresión, por lo que se sigue usando mucho en Internet a la hora de compartir archivos. Aunque otras aplicaciones permiten manejar el formato (incluido Windows 11) solo esta aplicación ofrece soporte completo.

Pero, cuidado; los archivos comprimidos son una fuente preferente para distribuir malware y las aplicaciones que las manejan suelen estar en el punto de mira de los ciberdelincuentes. WinRAR preferentemente.

Nueva vulnerabilidad en WinRAR

Descubierta por la firma de seguridad ESET e identificada como CVE-2025-8088, la vulnerabilidad ha sido explotada como ZERO DAY en ataques de phishing por RomCom, un grupo de ciberdelincuentes vinculado al estado ruso y conocido como Storm-0978, Tropical Scorpius o UNC2596, popular por sus campañas de espionaje contra entidades gubernamentales e infraestructura de Ucrania, Estados Unidos y Europa.

La campaña sigue la línea del grupo especializado en ataques de extorsión con ransomware y robo de datos, junto con campañas centradas en el robo de credenciales, y que suele utilizar malware personalizado para su uso en ataques de robo de datos, persistencia y, como en este caso, para instalar puertas traseras. A partir de ahí, una vez insertado el troyano (RomCom es un troyano de acceso remoto RAT que se utiliza desde al menos desde 2022) estás ‘muerto’ porque los atacantes obtendrían el control total de los equipos.

Técnicamente, la vulnerabilidad explotada afecta a UNRAR.dll, una biblioteca central que gestiona la extracción de archivos. Los atacantes crean un archivo malicioso que puede engañar al software para que escriba un archivo en la ubicación que elijan, en lugar del directorio seleccionado por el usuario. Al explotarla, los atacantes pueden colocar archivos ejecutables en directorios de ejecución automática, como la carpeta de inicio de Windows. De hecho, el código malicioso se ejecuta automáticamente al iniciar sesión el usuario. Esta acción permite al atacante ejecutar código remoto en el equipo comprometido.

WinRAR no cuenta con un mecanismo de actualización automática integrado, por lo que los usuarios de este software, deben visitar el sitio web oficial, descargar e instalar manualmente la versión 7.13 para estar protegido. Los responsables del descompresor informan que las versiones Unix de RAR y UnRAR, así como el RAR para Android, no están afectados.

La explotación ha sido reportada por varios medios y se ha observado en campañas de phishing que distribuyen RomCom (grupo vinculado a Rusia en distintos informes). En estos ataques, al abrir o extraer el RAR señuelo se consigue escribir ficheros en rutas sensibles, p. ej., la carpeta Startup, logrando que se ejecuten en el siguiente inicio de sesión.

Este 0-day llega poco después de CVE-2025-6218 (junio de 2025), otro directory traversal en WinRAR con impacto similar (escritura fuera del directorio y posible RCE) que también requería la interacción del usuario. El paralelismo entre ambos fallos subraya el atractivo de los gestores de archivos para los atacantes y la necesidad de actualizar con rapidez.

El grupo Paper Werewolf (GOFFEE) habría combinado este nuevo fallo con CVE-2025-6218 en ataques contra organizaciones rusas, y semanas antes un actor identificado como “zeroplayer” anunció en Exploit.in un supuesto 0-day de WinRAR por 80.000$; la firma Obrela documentó ese anuncio el 7/17/2025. Aunque la atribución sigue abierta, el mensaje es claro: hay explotación activa y los parches ya están disponibles.

Como nota relacionada, el gestor alternativo 7-Zip ha corregido CVE-2025-55188 (manejo inseguro de enlaces simbólicos durante la extracción) en la versión 25.01, que bajo circunstancias concretas permitiría escritura arbitraria de ficheros e incluso ejecución de código. Si su organización usa 7-Zip, conviene actualizar también.

Recomendaciones

Actualiza de inmediato a WinRAR 7.13 y bloquea versiones anteriores. Endurece el manejo de adjuntos: filtra o aísla archivos .rar/.zip externos y, si es imprescindible abrirlos, hazlo en una sandbox. Supervisa escrituras a rutas sensibles (p. ej., Startup, AppData, ProgramData) realizadas por WinRAR.exe/UnRAR.dll y refuerza la concienciación: estos ataques suelen requerir interacción del usuario. Si tu entorno usa 7-Zip, actualiza también a la 25.01.

Más Información

• WinRAR Zero-Day Under Active Exploitation – The Hacker News – https://thehackernews.com/2025/08/winrar-zero-day-under-active.html
• CVE-2025-8088 – NVD – https://nvd.nist.gov/vuln/detail/CVE-2025-8088
• WinRAR – What’s new (7.13) – https://www.rarlab.com/rarnew.html
• WinRAR zero-day flaw exploited by RomCom – BleepingComputer – https://www.bleepingcomputer.com/news/security/winrar-zero-day-flaw-exploited-by-romcom-hackers-in-phishing-attacks/
• WinRAR 0-Day RCE exploit for sale (zeroplayer) – Obrela Advisory (17/07/2025) – https://www.obrela.com/advisory/winrar-0-day-remote-code-execution-rce-exploit-for-sale/
• CVE-2025-6218 – NVD – https://nvd.nist.gov/vuln/detail/CVE-2025-6218
• 7-Zip 25.01 – Notas de versión (mitigación CVE-2025-55188) – https://github.com/ip7z/7zip/releases/tag/25.01
• CVE-2025-55188 – NVD – https://nvd.nist.gov/vuln/detail/CVE-2025-55188

Fuentes:

https://www.muycomputer.com/2025/08/11/si-usas-winrar-debes-actualizar-de-inmediato/

https://unaaldia.hispasec.com/2025/08/winrar-corrige-un-0-day-explotado-actualiza-a-7-13-cuanto-antes.html