网络安全公司ESET近日披露，广泛使用的压缩软件WinRAR存在高危漏洞CVE-2025-8088。该漏洞允许攻击者将后门程序植入用户电脑的Windows自启动目录，如系统启动时自动执行恶意文件。目前，该漏洞已被与俄罗斯有关联的RomCom黑客组织利用，通过钓鱼邮件传播带毒RAR文件。

据分析，RomCom（又名Storm-0978）自2022年起活跃，初期主要针对乌克兰政府、军事和能源设施，现已将攻击范围扩展至欧美地区参与乌克兰人道救援的机构。研究人员发现，这些恶意压缩包利用WinRAR的路径遍历缺陷，突破解压路径限制，将恶意程序藏匿于Startup文件夹或系统级启动目录。

WinRAR官方已在7.13版本中修复该漏洞。但由于软件无自动更新机制，用户需手动下载安装更新。早前6月，另一路径遍历漏洞CVE-2025-6218亦被曝光，显见此类安全风险需持续警惕。安全专家建议用户立即更新软件，并避免打开来源不明的压缩附件。

小贴士：WinRAR作为近三十年历史的经典工具，其安全性常被低估。此次事件再次提醒我们，即使是「老牌」软件也需及时打补丁，尤其当微软已为其颁发CVE编号并确认存在主动攻击时，升级刻不容缓。