WinRAR starszy niż 7.12 pozwala spreparowanemu archiwum zapisać plik poza wybranym folderem, np. w autostarcie Windows. CISA potwierdza ataki. Zaktualizuj WinRAR na wszystkich komputerach dziś.
Ten alert jest dla zarządu, CTO i CFO firm, w których pracownicy na komputerach z Windows rozpakowują archiwa RAR i ZIP programem WinRAR, szczególnie w księgowości, kadrach, sprzedaży i obsłudze klienta. Werdykt: jeśli na którymkolwiek komputerze jest WinRAR starszy niż 7.12, zaktualizuj go dziś, bo luka jest wykorzystywana w atakach z użyciem archiwów wysyłanych pocztą.
Amerykańska agencja CISA 9 grudnia 2025 roku dopisała podatność CVE-2025-6218 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy WinRAR, jednego z najpopularniejszych programów do archiwów w Windows.
Podczas rozpakowywania WinRAR można było oszukać ścieżką zapisaną w specjalnie przygotowanym archiwum: plik trafiał nie do folderu wskazanego przez użytkownika, ale w inne miejsce na dysku, np. do folderu autostartu. W efekcie samo rozpakowanie paczki z załącznika mogło skończyć się uruchomieniem kodu napastnika z uprawnieniami pracownika.
Termin naprawy wyznaczony przez CISA agencjom federalnym minął 30 grudnia 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-6218 (ZDI-25-409) |
Data dodania do CISA KEV | 2025-12-09 |
Termin naprawy wg CISA | 2025-12-30 (21 dni od wpisu) |
Produkt | RARLAB WinRAR oraz, według producenta, windowsowe wersje RAR, UnRAR, przenośny kod źródłowy UnRAR i biblioteka UnRAR.dll |
Wersje zagrożone | WinRAR starszy niż 7.12 w systemie Windows (NVD). Zero Day Initiative opisała błąd na wersji 7.11 (64-bit). Według producenta wersje RAR i UnRAR dla systemów Unix oraz RAR dla Androida nie są podatne |
Wersje bezpieczne | WinRAR 7.12 i nowsze (poprawka od 7.12 Beta 1 z 10 czerwca 2025 roku). Najnowsza stabilna wersja na stronie producenta w dniu publikacji alertu: 7.23 |
Typ podatności | Przejście po katalogach (path traversal) prowadzące do wykonania kodu; CWE-22 |
Ocena CVSS | 7.8 WYSOKA (CVSS 3.0) wg Zero Day Initiative; NVD nie wystawiła własnej oceny. Wektor lokalny: atak wymaga otwarcia pliku przez użytkownika, nie wymaga uprawnień |
Wyobraź sobie paczkę kurierską z dokumentami, do której nadawca dołączył kartkę: „rozłóż zawartość na półce numer 3”. Pracownik magazynu wskazuje półkę, a pomocnik rozkłada rzeczy. W tym przypadku na jednej z teczek w środku była naklejka „odłóż do szafy dyrektora” i pomocnik posłusznie ją tam zaniósł, zamiast na wskazaną półkę. Rano dyrektor otwiera szafę i bez namysłu korzysta z tego, co tam leży.
Archiwum RAR to taka paczka: każdy plik ma w środku zapisaną ścieżkę. Podatny WinRAR nie sprawdzał, czy ta ścieżka nie wyprowadza poza folder wybrany przez użytkownika. Napastnik mógł więc umieścić plik w folderze autostartu Windows albo w folderze szablonów Worda, a system sam go uruchamiał przy następnym logowaniu lub otwarciu programu.
💡 Archiwum to plik (np. .rar, .zip) zawierający wiele plików razem ze strukturą folderów. Path traversal (przejście po katalogach) to błąd, w którym ścieżka typu „wyjdź piętro wyżej” pozwala zapisać plik poza dozwolonym miejscem. Folder autostartu to miejsce, z którego Windows uruchamia programy po zalogowaniu. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Rozpakowanie paczki z dokumentami | Pliki trafiają do wybranego folderu | Część plików może trafić w inne miejsce na dysku |
Plik podrzucony do autostartu | Niemożliwy przez samo rozpakowanie | Uruchamia się przy następnym logowaniu |
Uprawnienia napastnika | Brak dostępu do komputera | Uprawnienia pracownika: poczta, dyski sieciowe, zapisane hasła |
Ochrona na brzegu sieci | Filtruje ruch z internetu | Nie pomaga, bo plik przyszedł jako zwykły załącznik |
WinRAR 7.12 lub nowszy | Ścieżki sprawdzane | Atak nie działa |
źródło: Pexels, cottonbro studioPoniżej typowy przebieg ataku dla tej klasy podatności, zbieżny z opisem kampanii APT-C-08 przez SecPod. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka nie działa „sama z internetu”: potrzebny jest pracownik, który otworzy i rozpakuje archiwum. CISA oceniła, że ataku nie da się w pełni zautomatyzować.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przygotowanie przynęty | T+0 | Przygotowanie archiwum RAR ze zwykłymi dokumentami i ukrytym plikiem ze złośliwą ścieżką | Wiarygodnie wyglądająca paczka |
2. Wysyłka | T+minuty | E-mail podszywający się pod klienta, urząd lub kontrahenta, z archiwum w załączniku | Wiadomość w skrzynce pracownika |
3. Rozpakowanie | T+godziny lub dni | Pracownik rozpakowuje paczkę starszym WinRAR | Złośliwy plik ląduje w autostarcie lub szablonach Worda |
4. Uruchomienie | Przy następnym logowaniu lub otwarciu Worda | System sam uruchamia podrzucony plik, który pobiera właściwe złośliwe oprogramowanie | Program zdalnego dostępu na komputerze |
5. Kradzież danych | T+dni | Przeglądanie poczty, dysków sieciowych, zapisanych haseł | Dane firmy i klientów poza organizacją |
6. Rozprzestrzenienie | T+dni do tygodni | Użycie przejętego konta do ataków na innych pracowników i partnerów | Szersze włamanie |
Mogę Ci jakoś pomóc?
Archiwizator to typowy program instalowany raz i zapominany na lata, a rozpakowywanie paczek od znanych nadawców to codzienna rutyna. Zapory sieciowe nie zatrzymają ataku, który zaczyna się od zwykłego załącznika otwartego przez uprawnionego pracownika.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączenie zainfekowanych komputerów, reinstalacja, przerwa w pracy działu | Dni | 10 tys. do 100 tys. PLN (przestój, reinstalacje) |
Bezpieczeństwo danych | Wyciek dokumentów, poczty, haseł z przeglądarki, danych klientów | Dni od rozpakowania | 20 tys. do 150 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Oszustwa na podstawie wykradzionej korespondencji, nieautoryzowane przelewy | Tygodnie | 20 tys. do 500 tys. PLN, zależnie od dostępów pracownika |
Reputacyjny | Kontrahenci dostają zainfekowane wiadomości z firmowej skrzynki | Dni do tygodni | 20 tys. do 200 tys. PLN (utracone zlecenia) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 100 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla komputerów z WinRAR < 7.12,
na których pracownicy otwierają archiwa z zewnątrz
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (wykonanie kodu z uprawnieniami pracownika, nie administratora), a prawdopodobieństwo wysokie, ale nie maksymalne, bo atak wymaga rozpakowania archiwum przez człowieka i dotąd opisywano go głównie w kampaniach celowanych.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję WinRAR na wszystkich komputerach z Windows, także rzadko używanych i prywatnych używanych do pracy | Dziś | Dział IT |
2 | 🔴 NATYCHMIAST | Zaktualizować WinRAR do 7.12 lub nowszego, najlepiej do bieżącej wersji ze strony producenta | Dziś | Dział IT |
3 | 🟠 PILNIE | Sprawdzić inne programy zawierające UnRAR.dll lub kod UnRAR (np. starsze menedżery plików i archiwizatory) i je zaktualizować | Do 3 dni | Dział IT |
4 | 🟠 PILNIE | Na komputerach osób otwierających archiwa z zewnątrz przejrzeć folder autostartu i szablony Worda pod kątem nieznanych plików | Do 3 dni | Dział IT / zespół bezpieczeństwa |
5 | 🟠 PILNIE | Przypomnieć pracownikom, żeby nie rozpakowywali nieoczekiwanych archiwów, także od znanych nadawców, bez potwierdzenia inną drogą | Do 7 dni | Kierownicy działów |
6 | 🟡 WAŻNIE | Wdrożyć automatyczną aktualizację programów użytkowych lub centralne zarządzanie oprogramowaniem | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Ograniczyć uprawnienia kont na stanowiskach, które codziennie otwierają paczki z zewnątrz | Do 30 dni | CTO |
Producent wydał poprawkę w czerwcu 2025 roku, a aktualizacja WinRAR trwa kilka minut, więc brak aktualizacji jest zwykle kwestią organizacyjną. Jeśli jakiś komputer nie może być od razu zaktualizowany, pomagają poniższe miary. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odinstalowanie starego WinRAR i otwieranie archiwów ZIP wbudowanym narzędziem Windows | Wysoka dla tej luki, ale wbudowane narzędzie może nie obsłużyć wszystkich formatów | Łatwa |
Blokowanie lub kwarantanna załączników RAR z zewnątrz na serwerze poczty | Średnia do wysokiej: zmniejsza liczbę przynęt, archiwa mogą przyjść innym kanałem | Średnia |
Monitorowanie zmian w folderze autostartu i szablonach Office przez program ochrony stacji roboczych | Średnia: wykrywa typowe miejsca podrzucenia plików | Średnia |
Szkolenie pracowników z rozpoznawania podejrzanych paczek | Niska do średniej: pomaga, ale nie zastąpi aktualizacji | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Rozpakowanie archiwum | Plik może trafić poza wybrany folder | Ścieżki sprawdzane, plik trafia tam, gdzie wskazano |
Wiedza o wersjach | WinRAR zainstalowany kiedyś i zapomniany | Lista komputerów z wersją 7.12 lub nowszą |
Stanowiska wysokiego ryzyka | Nie wiadomo, kto otwiera paczki z zewnątrz | Lista stanowisk z ograniczonymi uprawnieniami |
Aktualizacje programów | Tylko po głośnych alarmach | Stały, automatyczny proces |
Załączniki w poczcie | Bez kontroli archiwów | Archiwa z zewnątrz sprawdzane lub oznaczane |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). CISA oceniła wykorzystanie jako aktywne, z całkowitym wpływem technicznym, ale nieautomatyzowalne |
Grupy przestępcze | Według SecPod (13 listopada 2025) lukę wykorzystuje grupa APT-C-08, znana też jako Bitter, w kampanii szpiegowskiej przeciw instytucjom rządowym w Azji Południowej. Nie potwierdzają tego komunikaty rządowe ani producenta |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.8 WYSOKA wg Zero Day Initiative (CVSS 3.0); brak oceny NVD |
PoC dostępny publicznie? | NVD oznacza raporty Foresiet i SecPod jako opisujące sposób wykorzystania; ogólnodostępnego gotowego narzędzia nie weryfikowaliśmy |
Liczba atakowanych firm | Brak publicznych informacji |
Kto wykrył błąd | Badacz whs3-detonator we współpracy z Trend Micro Zero Day Initiative |
Inne systemy | Debian oznacza problem w pakiecie rar jako zamknięty i o najniższym priorytecie; RAR dla Unix i Androida nie jest podatny (wg producenta) |
Opis luki mówi o „zdalnym napastniku”, a ocena CVSS o „ataku lokalnym”. Obie rzeczy są prawdziwe: napastnik działa z daleka, wysyłając plik, ale do ataku dochodzi dopiero na komputerze, gdy pracownik rozpakuje archiwum.
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2025-6218
CVSS 3.0 (ZDI) 7.8/10 ████████████████░░░░ WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Kampanie celowane TAK ████████████████░░░░ wg SecPod (APT-C-08)
Wymaga działania TAK ██████████░░░░░░░░░░ rozpakowanie pliku
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2025-06-10 WinRAR 7.12 Beta 1 z poprawką błędu ścieżek
2025-06-21 Publikacja CVE-2025-6218 w NVD (ZDI-25-409)
2025-11-13 SecPod opisuje kampanię APT-C-08 z użyciem luki
2025-12-09 CISA dodaje lukę do katalogu KEV
2025-12-30 Termin naprawy wg CISA dla agencji federalnych
... ponad 15 miesięcy od wydania poprawki
2026-09-17: TUTAJ JESTEŚMY Komunikat producenta o wydaniu z poprawką: WinRAR 7.12 Beta 1 released . Pobieranie aktualnej wersji: rarlab.com/download.htm . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-6218 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Polecić sprawdzenie i aktualizację WinRAR na wszystkich komputerach firmowych | CTO | DZISIAJ |
2 | Uzyskać listę komputerów, na których WinRAR był starszy niż 7.12 | CTO | DZISIAJ |
3 | Wskazać działy, które codziennie otwierają archiwa od klientów i kontrahentów | CFO / kierownicy działów | DZISIAJ |
4 | Zlecić przegląd folderów autostartu na komputerach tych działów | CTO | DO JUTRA |
5 | Wysłać pracownikom krótki komunikat o ostrożności z archiwami | CTO | DO JUTRA |
6 | Sprawdzić, czy licencje WinRAR są aktualne i czy firma ma narzędzie do centralnych aktualizacji | CFO | DO JUTRA |
7 | Zarezerwować budżet na analizę, jeśli przegląd komputerów coś wykaże | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Na ilu komputerach jest zainstalowany WinRAR? | [liczba] | 🔴 |
2 | Czy wszystkie mają wersję 7.12 lub nowszą? | TAK / NIE | 🔴 |
3 | Czy inne programy w firmie korzystają z UnRAR.dll w starej wersji? | TAK / NIE | 🟠 |
4 | Czy przejrzano folder autostartu i szablony Office na stanowiskach, które otwierają archiwa z zewnątrz? | TAK / NIE, [data] | 🟠 |
5 | Czy serwer poczty sprawdza lub oznacza załączniki z archiwami? | TAK / NIE | 🟠 |
6 | Czy programy użytkowe aktualizują się automatycznie lub centralnie? | TAK / NIE | 🟡 |
7 | Czy pracownicy pracują na kontach bez uprawnień administratora? | TAK / NIE | 🟡 |
CVE-2025-6218 pozwala spreparowanemu archiwum RAR zapisać plik poza wskazanym folderem i uruchomić kod napastnika na komputerze pracownika. Poprawka jest dostępna od czerwca 2025 roku, a CISA potwierdza ataki, więc aktualizacja WinRAR do wersji 7.12 lub nowszej na wszystkich komputerach to zadanie na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.