Przygotowane archiwum RAR zapisuje pliki poza wybranym folderem i uruchamia kod napastnika. Luka była wykorzystywana jako zero-day, CISA potwierdza ransomware. Zaktualizuj WinRAR do 7.13.
Ten alert jest dla zarządu, CTO i CFO firm, w których pracownicy otwierają archiwa RAR na komputerach z Windows albo firmowe systemy same rozpakowują przysyłane paczki. Werdykt: jeśli masz WinRAR lub narzędzia UnRAR w wersji starszej niż 7.13, zaktualizuj je dziś na wszystkich stanowiskach, także tam, gdzie latem 2025 roku wgrano wersję 7.12, bo luka jest używana w atakach ransomware.
Amerykańska agencja CISA 12 sierpnia 2025 roku dopisała CVE-2025-8088 do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy windowsowej wersji WinRAR i powiązanych narzędzi. Przygotowane archiwum omija folder wskazany przez użytkownika i zapisuje pliki w innych miejscach systemu, co pozwala uruchomić kod napastnika.
Badacze ESET wykryli lukę 18 lipca 2025 roku, gdy była już wykorzystywana w atakach, m.in. przez powiązaną z Rosją grupę RomCom. Producent wydał poprawkę w wersji 7.13 dwanaście dni później. Uwaga: to inny błąd niż ten naprawiony wcześniej w wersji 7.12, więc aktualizacja do 7.12 nie wystarcza. Termin naprawy wg CISA minął 2 września 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-8088 |
Data dodania do CISA KEV | 2025-08-12 |
Termin naprawy wg CISA | 2025-09-02 (21 dni od wpisu) |
Produkt | RARLAB WinRAR dla Windows; także RAR i UnRAR wiersza poleceń dla Windows, biblioteka UnRAR.dll, przenośny kod UnRAR dla Windows. NVD wymienia dodatkowo dtSearch w wersjach niższych niż 2023.01 |
Wersje zagrożone | Wszystkie wersje do 7.12 włącznie (NVD: niższe niż 7.13). Wersje dla Linuksa i Uniksa oraz RAR dla Androida nie są podatne. Atak wymaga otwarcia lub rozpakowania przygotowanego archiwum |
Wersje bezpieczne | WinRAR i narzędzia RAR/UnRAR 7.13 (30 lipca 2025 roku) lub nowsze; dtSearch 2023.01 lub nowszy. Aktualizację trzeba zainstalować na każdym stanowisku i w każdym systemie korzystającym z UnRAR.dll |
Typ podatności | Przejście po ścieżce (path traversal) z użyciem alternatywnych strumieni danych, wykonanie kodu; CWE-35 |
Ocena CVSS | ESET (zgłaszający): 8.4 (CVSS 4.0, WYSOKA; atak lokalny, wymaga aktywnego udziału użytkownika). NVD: 8.8 (CVSS 3.1, WYSOKA; atak przez sieć, wymaga działania użytkownika). Obie: pełny wpływ na poufność, integralność i dostępność |
Różnica ocen wynika z tego, gdzie postawi się granicę zdarzenia: napastnik wysyła plik z daleka, ale nic się nie dzieje, dopóki ktoś nie otworzy go na konkretnym komputerze. Działanie jest w obu przypadkach to samo.
Wyobraź sobie, że zamawiasz paczkę z dokumentami i prosisz kuriera, żeby zostawił ją w recepcji. Kurier przychodzi, ale część zawartości sam wynosi do gabinetu prezesa i do szafy z kluczami, bo tak było napisane drobnym drukiem na paczce. Recepcja widzi tylko to, co zostało na ladzie.
Tak działa ta luka. Pracownik rozpakowuje archiwum do wybranego folderu i widzi tam spodziewane pliki. W tym samym czasie ukryte pliki trafiają w miejsca, z których Windows sam je później uruchamia. Ryzyko dotyczy nie tylko ludzi: biblioteka UnRAR.dll bywa wbudowana w systemy obiegu dokumentów czy bramki pocztowe, które rozpakowują paczki automatycznie, bez żadnego okna.
💡 Przejście po ścieżce (path traversal) to błąd, w którym plik zostaje zapisany poza folderem, który wskazał użytkownik. Alternatywne strumienie danych to mechanizm systemu plików Windows pozwalający ukryć dodatkowe dane przy pliku. UnRAR.dll to biblioteka, którą inne programy dołączają, żeby rozpakowywać archiwa RAR. Zero-day (dzień zerowy) to luka wykorzystywana, zanim producent i obrońcy się o niej dowiedzą.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik rozpakowuje archiwum od „kontrahenta” | Pliki trafiają do wybranego folderu | Część plików ląduje w miejscach systemowych i uruchamia się później |
Komputer po aktualizacji do 7.12 | Uznany za bezpieczny | Nadal podatny na ten drugi, osobny błąd |
System firmowy rozpakowujący załączniki | Automatycznie przetwarza paczki | Zapisuje pliki tam, gdzie zaplanował nadawca |
Antywirus i użytkownik | Widzą to, co w wybranym folderze | Ukryty plik może zostać przeoczony |
Narzędzie do przeszukiwania dokumentów dtSearch | Indeksuje archiwa | Wersje poniżej 2023.01 wymienione w NVD jako podatne |
źródło: Pexels, cottonbro studioPoniżej typowy przebieg ataku dla tej klasy podatności, zgodny z opisanym przez ESET sposobem dostarczania. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga, żeby ktoś otworzył lub rozpakował archiwum. CISA ocenia go jako nieautomatyzowalny, o całkowitym skutku technicznym, a pole ransomware w KEV ma wartość potwierdzającą.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przygotowanie | T+0 | Spreparowanie archiwum RAR z ukrytymi plikami i wiarygodnej wiadomości, np. z dokumentami od „kontrahenta” | Załącznik wyglądający na zwykłą paczkę dokumentów |
2. Dostarczenie | T+minuty do godzin | Wysyłka e-mailem do wybranych pracowników | Archiwum w skrzynce ofiary |
3. Rozpakowanie | T+moment otwarcia | Pracownik rozpakowuje archiwum; ukryty plik trafia np. do folderu autostartu | Szkodliwy program czeka na uruchomienie |
4. Uruchomienie | T+najbliższe logowanie | Windows uruchamia podrzucony program | Tylne wejście dla napastnika |
5. Rozwinięcie ataku | T+dni do tygodni | Rozpoznanie sieci, kradzież danych, przygotowanie szyfrowania | Wyciek danych lub ransomware |
Mogę Ci jakoś pomóc?
Archiwa RAR to codzienność w wymianie dokumentów z klientami i kontrahentami. Luka była wykorzystywana, zanim ktokolwiek o niej wiedział, jest potwierdzona w kampaniach ransomware, a wiele firm ma fałszywe poczucie bezpieczeństwa po aktualizacji do 7.12. Do tego ryzyko może siedzieć w programach, które nie mają „RAR” w nazwie.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zaszyfrowane stanowiska i serwery, zatrzymana praca | Dni do tygodni od otwarcia archiwum | 50 tys. do 400 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Kradzież dokumentów klientów i danych firmy przed szyfrowaniem | Dni | 30 tys. do 200 tys. PLN (analiza powłamaniowa) |
Finansowy | Żądanie okupu, koszty specjalistów, utracone zlecenia | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Rozmowy z klientami o tym, gdzie są ich dokumenty | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w 72 godziny i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla WinRAR / UnRAR dla Windows w wersji do 7.12
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest wysokie (zero-day, ransomware potwierdzone, EPSS ponad 94%), a wpływ wysoki, ale nie maksymalny, bo atak wymaga otwarcia archiwum przez człowieka lub system; dla stanowisk z wersją 7.13 ryzyko tej luki znika.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję WinRAR na wszystkich komputerach z Windows (także tam, gdzie jest 7.12) | Dziś | Dział IT |
2 | 🔴 NATYCHMIAST | Zaktualizować WinRAR oraz narzędzia RAR/UnRAR do wersji 7.13 lub nowszej | Dziś | Dział IT |
3 | 🔴 NATYCHMIAST | Odinstalować WinRAR ze stanowisk, na których nie jest potrzebny | Dziś | Dział IT |
4 | 🟠 PILNIE | Zapytać dostawców systemów obiegu dokumentów, poczty i zgłoszeń, czy używają UnRAR.dll i w jakiej wersji | Do 3 dni | CTO |
5 | 🟠 PILNIE | Sprawdzić, czy firma używa dtSearch w wersji niższej niż 2023.01 | Do 3 dni | Dział IT |
6 | 🟠 PILNIE | Przejrzeć foldery autostartu i nietypowe programy na komputerach, na których otwierano archiwa od lipca 2025 roku | Do 7 dni | Dział IT / zespół bezpieczeństwa |
7 | 🟡 WAŻNIE | Prowadzić spis programów z wersjami i ustalić ponowne sprawdzenie miesiąc po każdej alarmowej aktualizacji | Do 30 dni | CTO |
Producent wydał poprawioną wersję 7.13, więc docelowo trzeba ją zainstalować. Problem może dotyczyć programów firm trzecich z wbudowaną biblioteką, na których poprawkę trzeba poczekać. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Usunięcie WinRAR ze stanowisk, które go nie potrzebują (CISA dopuszcza zaprzestanie używania) | Wysoka | Łatwa |
Blokowanie lub kwarantanna załączników RAR na serwerze poczty | Średnia do wysokiej: zamyka główny kanał dostarczania | Średnia |
Czasowe wyłączenie automatycznego rozpakowywania archiwów w systemach firmowych | Wysoka dla tych systemów | Średnia |
Szkolenie pracowników: nie rozpakowywać niezamówionych archiwów | Niska do średniej | Łatwa |
Monitorowanie nowych plików w folderach autostartu | Niska jako ochrona, przydatna do wykrycia ataku | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja WinRAR | 7.12 lub starsza, uznana za „naprawioną” | 7.13 lub nowsza albo program usunięty |
Systemy z UnRAR.dll | Nikt nie wie, które je mają | Lista systemów z potwierdzeniem wersji od dostawców |
Załączniki RAR | Trafiają bez ograniczeń do skrzynek | Kwarantanna lub kontrola na serwerze poczty |
Spis oprogramowania | Brak | Arkusz z wersjami i datami sprawdzeń |
Stanowiska po otwarciu archiwów | Niesprawdzone | Przejrzane foldery autostartu |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); wg ESET wykorzystywana jako zero-day od co najmniej lipca 2025 roku |
Grupy przestępcze | RomCom (znana też jako Storm-0978, Tropical Scorpius, UNC2596), grupa powiązana z Rosją, wg ESET; tytuł raportu ESET wskazuje także na inne grupy |
Kampanie ransomware | TAK (CISA KEV: Known) |
Ocena CVSS | 8.8 WYSOKA wg NVD (CVSS 3.1); 8.4 WYSOKA wg ESET (CVSS 4.0) |
PoC dostępny publicznie? | Brak potwierdzonych informacji o publicznym kodzie; ESET opisał szczegółowo mechanizm i próbki ataków |
Liczba atakowanych firm | Brak publicznych liczb; wg ESET cele to firmy finansowe, produkcyjne, obronne i logistyczne w Europie i Kanadzie |
Kto wykrył błąd | Anton Cherepanov, Peter Košinár i Peter Strýček z ESET |
Prognoza EPSS | Ponad 94% szansy prób wykorzystania w 30 dni, stabilnie przez ostatni miesiąc (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2025-8088
CVSS 3.1 (NVD) 8.8/10 ██████████████████░░ WYSOKA
CVSS 4.0 (ESET) 8.4/10 █████████████████░░░ WYSOKA
EPSS (próba w 30 dni) >94% ███████████████████░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Known ████████████████████ używana
Mogę Ci jakoś pomóc?
przed 07.25 WinRAR 7.12 naprawia wcześniejszy, inny błąd
2025-07-18 ESET wykrywa nieznaną lukę wykorzystywaną w atakach
2025-07-23 Rezerwacja numeru CVE
2025-07-30 RARLAB wydaje WinRAR 7.13 z poprawką
2025-08-08 Publikacja CVE-2025-8088
2025-08-11 ESET publikuje raport o atakach (RomCom)
2025-08-12 CISA dodaje lukę do KEV (razem z lukami z 2013 i 2007 roku)
2025-09-02 Termin naprawy wg CISA dla agencji federalnych
... ponad 12 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny komunikat producenta o wersji 7.13: win-rar.com, informacja o wydaniu . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-8088 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zlecić sprawdzenie wersji WinRAR na wszystkich komputerach z Windows | CTO | DZISIAJ |
2 | Zatwierdzić aktualizację do 7.13 lub usunięcie programu tam, gdzie nie jest potrzebny | CTO | DZISIAJ |
3 | Wysłać dostawcom systemów pytanie o użycie UnRAR.dll i jego wersję | CTO | DO JUTRA |
4 | Zatwierdzić kontrolę załączników RAR na serwerze poczty | CTO | DO JUTRA |
5 | Zarezerwować budżet na przegląd komputerów, na których otwierano archiwa od lipca 2025 roku | CFO | DO JUTRA |
6 | Sprawdzić, czy polisa cyberubezpieczenia obejmuje ransomware i jakie stawia wymagania | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Na ilu komputerach jest zainstalowany WinRAR? | [liczba] | 🔴 |
2 | Jaka jest najstarsza wersja WinRAR w firmie? | [wersja] | 🔴 |
3 | Kiedy wszystkie stanowiska dostały wersję 7.13 lub nowszą? | [data] | 🔴 |
4 | Które systemy firmowe automatycznie rozpakowują archiwa? | [lista] | 🟠 |
5 | Czy dostawcy potwierdzili wersję UnRAR.dll w swoich produktach? | TAK / NIE | 🟠 |
6 | Czy używamy dtSearch w wersji niższej niż 2023.01? | TAK / NIE | 🟠 |
7 | Czy serwer poczty kontroluje lub blokuje załączniki RAR? | TAK / NIE | 🟡 |
CVE-2025-8088 pozwala uruchomić kod napastnika po rozpakowaniu przygotowanego archiwum w WinRAR lub narzędziach UnRAR dla Windows do wersji 7.12. Luka była wykorzystywana jako zero-day, CISA potwierdza użycie w ransomware, a wersja 7.13 jest dostępna od 30 lipca 2025 roku, więc aktualizacja wszystkich stanowisk i sprawdzenie systemów z UnRAR.dll to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.