Уразливості WinRAR: хронологія атак від 2019 до 2026 року і як захистити компʼютер
Наприкінці червня 2026 року RARLAB випустила WinRAR 7.23 з виправленням уразливості CVE-2026-14191 у коді, що відновлює пошкоджені RAR-архіви. Це вже не перша вада в цьому фрагменті програми: як зазначає Malwarebytes з посиланням на запис EUVD-2026-40869 у Європейській базі уразливостей, нова помилка є варіантом CVE-2023-40477, яку закрили ще 2023 року.
За останні сім років WinRAR пережив низку схожих уразливостей, і в усіх них одна спільна риса: програма не оновлюється автоматично. Тому навіть давно виправлені вади місяцями й роками лишаються робочим інструментом для атак — зокрема проти українських державних установ і військових.
Головне
Із 2019 року у WinRAR виправили щонайменше шість серйозних уразливостей, через які підготовлений архів може запустити шкідливий код.
Повʼязані з росією угруповання APT28, Sandworm, Turla і Gamaredon використовували вади WinRAR проти України; атаки через CVE-2025-8088 тривали щонайменше до квітня 2026 року.
WinRAR не оновлюється автоматично, тому захищає лише ручне встановлення версії 7.23 або новішої.
Windows 11 версії 24H2 відкриває RAR-архіви вбудованими засобами, і цей компонент отримує виправлення через Windows Update.
Чому WinRAR роками лишається мішенню
WinRAR не встановлює оновлення сам: про нову версію користувач має дізнатися й завантажити її вручну, на що звертає увагу Malwarebytes. В організаціях проблема глибша. За даними Trend Micro, WinRAR не підтримує групові політики Windows і не потрапляє в корпоративні канали оновлень на кшталт WSUS, SCCM чи Intune, тож перевірити версію на сотнях компʼютерів можна лише вручну або сторонніми засобами.
WinRAR глибоко вбудований у щоденну роботу українських організацій, і саме це робить його привабливою ціллю для атак
Хіроюкі Какара і Фейке Хакеборд, дослідники Trend Micro
Має значення і масштаб. Ще 2019 року, як зазначали в Check Point Research, RARLAB заявляла про понад 500 млн користувачів. Для зловмисника це означає, що один робочий експлойт годиться для величезної кількості цілей, а повільне оновлення дає йому місяці, а то й роки.
Хронологія ключових уразливостей
2019 — CVE-2018-20250: помилка, що жила 19 років
Дослідник Check Point Research Надав Гроссман виявив, що для розпакування архівів застарілого формату ACE WinRAR використовував бібліотеку UNACEV2.dll, скомпільовану ще 2006 року без базових механізмів захисту на кшталт ASLR і DEP. Помилка обходу шляху (path traversal) дозволяла записати файл не в обрану користувачем папку, а, наприклад, у папку автозавантаження Windows — і шкідлива програма запускалася під час наступного входу в систему. Атаці не заважало навіть розширення: досить було перейменувати ACE-архів на .rar, бо WinRAR визначав формат за вмістом файлу. Сама вада існувала понад 19 років.
Вихідного коду бібліотеки в RARLAB не було, тож компанія повністю відмовилася від підтримки формату ACE, починаючи з WinRAR 5.70. Зловмисники швидко скористалися паузою між виправленням і оновленням: McAfee Labs фіксувала шкідливі архіви, замасковані під піратський музичний альбом. За даними Trend Micro, цю уразливість використовували в цільових атаках ще кілька років після розкриття.
2023 — CVE-2023-38831: «картинка», що запускає скрипт
Цю ваду кіберзлочинці використовували як уразливість нульового дня щонайменше з квітня 2023 року в атаках на трейдерів — про це першою повідомила Group-IB. Механізм, за описом Google Threat Analysis Group: користувач двічі клацає на безпечний на вигляд файл в архіві, наприклад PNG-зображення, а WinRAR через логічну помилку і особливість обробки розширень у Windows запускає замість нього підкладений скрипт. Виправлення увійшло до WinRAR 6.23 у серпні 2023 року.
Щойно опис уразливості став публічним, на GitHub зʼявилися готові генератори експлойтів, і до справи долучилися державні хакери. Google TAG зафіксувала кампанію Sandworm, яку повʼязують із підрозділом 74455 ГРУ: угруповання розсилало запрошення від імені української школи операторів дронів і заражало компʼютери викрадачем даних Rhadamanthys. Інше угруповання ГРУ, APT28, за даними CERT-UA використовувало цю ваду проти обʼєктів енергетики, а в одній із кампаній маскувало приманку під запрошення на захід від Центру Разумкова.
2023 — CVE-2023-40477: перший збій у томах відновлення
Саме цій уразливості була присвячена перша версія цієї статті. Її знайшов дослідник goodbyeselene, який співпрацює з Zero Day Initiative. Помилка в обробці томів відновлення — файлів .rev, які допомагають відтворити пошкоджені багатотомні архіви, — дозволяла звернутися до памʼяті за межами виділеного буфера і виконати код. Оцінка за шкалою CVSS — 7,8; для атаки жертва мала відкрити шкідливий файл або сторінку. Виправлення увійшло до того самого випуску WinRAR 6.23, що й захист від CVE-2023-38831.
2025 — CVE-2025-6218 і CVE-2025-8088: обхід шляху повертається
У червні 2025 року RARLAB виправила у версії 7.12 ваду, через яку спеціально підготовлений архів міг підмінити обрану користувачем папку для розпакування. Про проблему повідомив дослідник, який співпрацює з Zero Day Initiative. У грудні 2025 року американське агентство CISA внесло CVE-2025-6218 до каталогу уразливостей, які активно використовують в атаках; серед тих, хто її застосовував, The Hacker News називає і Gamaredon у кампаніях проти українських військових і держорганів.
Майже одночасно, 18 липня 2025 року, дослідники ESET натрапили на нову уразливість нульового дня, яку вже використовувало повʼязане з росією угруповання RomCom. Цього разу шкідливі файли ховали в альтернативних потоках даних NTFS (Alternate Data Streams): користувач бачив в архіві один безневинний документ, а WinRAR непомітно розкладав по системі шкідливу бібліотеку і ярлик у папці автозавантаження. Розсилки RomCom маскувалися під резюме кандидатів і були спрямовані на фінансові, виробничі, оборонні та логістичні компанії в Європі та Канаді. RARLAB випустила WinRAR 7.13 30 липня 2025 року. Про цю кампанію CyberCalm писав окремо.
Після цього уразливість розійшлася «по руках». У січні 2026 року Google Threat Intelligence Group повідомила, що CVE-2025-8088 використовують Sandworm, Turla і Gamaredon проти українських військових і державних установ, а також китайські угруповання та звичайні кіберзлочинці. Експлойт для WinRAR, за даними Google, ще в липні 2025 року рекламував на підпільних майданчиках постачальник під ніком zeroplayer.
2026 — та сама вада проти України, через рік після патча
У червні 2026 року Trend Micro описала дві окремі кампанії проти українських організацій, які досі трималися на CVE-2025-8088. Першу проводить Gamaredon, другу — угруповання, яке CERT-UA відстежує як UAC-0226. Нові зразки експлойтів обидва створювали щонайменше до квітня 2026 року.
Приманки підібрано під українські реалії. UAC-0226 маскував архіви під повістку Дніпропетровського окружного адміністративного суду, реєстр військовозобовʼязаних від імені Міноборони і документи на автомобілі КрАЗ. Після зараження запускалася оновлена версія викрадача GIFTEDCROOK: він збирає паролі й файли cookie з Chrome, Edge, Opera і Firefox, а також документи 35 типів, зокрема бази паролів KeePass (.kdbx) і конфігурації OpenVPN (.ovpn), а потім видаляє власні сліди. Gamaredon розсилав «судові» листи — повістки, виконавчі документи, постанови про арешт майна — здебільшого зі зламаних скриньок українських держорганів, тож адреса відправника не викликала підозр.
2026 — CVE-2026-14191: знову томи відновлення
У WinRAR 7.23 RARLAB виправила переповнення буфера в купі (heap overflow) у коді, що відновлює дані з томів відновлення формату RAR5. Про проблему повідомив Арджун Баснет із Securin Labs. Уразливість зачіпає WinRAR, консольні утиліти RAR і UnRAR; бібліотека UnRAR.dll томів відновлення не обробляє, тож її це не стосується. За описом Tenable, набір підготовлених .rev-файлів дозволяє записати дані за межі виділеної памʼяті й потенційно виконати код. У тому самому випуску закрито ще одну ваду — повʼязану із символьними посиланнями, які могли вказувати за межі папки розпакування.
Що обʼєднує ці уразливості
Помилки повторюються у двох місцях: в обробці шляхів під час розпакування (CVE-2018-20250, CVE-2025-6218, CVE-2025-8088) і в роботі з памʼяттю в томах відновлення (CVE-2023-40477, CVE-2026-14191). Але головна закономірність не технічна. Як підсумовувала Google TAG ще 2023 року, навіть найдосвідченіші зловмисники роблять лише те, що необхідно, — і якщо стара вада досі працює, нова їм не потрібна. Для CVE-2025-8088 це підтвердилося майже дослівно: виправлення вийшло в липні 2025-го, а атаки на Україну тривали й навесні 2026-го.
Як перевірити й оновити WinRAR
Відкрити WinRAR і в меню «Довідка» вибрати «Про WinRAR» — у вікні буде номер версії. Інший спосіб у Windows 11: «Параметри» → «Програми» → «Інстальовані програми», рядок WinRAR.
Якщо версія нижча за 7.23, завантажити інсталятор лише з офіційного сайту і встановити поверх старої версії. «Збірки» з торентів і сайти-двійники — окремий ризик.
Вибрати правильну збірку: починаючи з WinRAR 7.10, програма працює лише в 64-бітних Windows 7 і новіших; для компʼютерів на процесорах ARM є окремий інсталятор.
Оновити й інші компоненти RAR, якщо вони є в системі: консольні RAR і UnRAR, а також програми, що використовують UnRAR.dll, — CVE-2025-8088, за даними ESET, зачіпала й їх.
Перевіряти наявність нової версії регулярно: автоматичного оновлення WinRAR не має.
Читайте такожЧому небезпечно завантажувати програми з неофіційних джерел і як безпечно встановлювати ПЗ на компʼютер
Чи потрібен WinRAR узагалі
Для більшості домашніх користувачів — ні. За даними Microsoft, Windows 11 версії 24H2 підтримує формати ZIP, RAR, 7z і TAR вбудованими засобами Провідника: архів відкривається подвійним клацанням, а команда «Видобути все» розпаковує вміст. Обмеження одне — зашифровані, тобто захищені паролем, архіви Windows не обробляє. Покрокову інструкцію CyberCalm публікував раніше.
Вбудований інструмент теж не застрахований від помилок: у квітні 2024 року Microsoft виправила уразливість CVE-2024-26256 у бібліотеці libarchive, яку Windows використовує для роботи з архівами. Різниця принципова: такі виправлення приходять через Windows Update без участі користувача.
Якщо WinRAR лишився після давньої інсталяції й не використовується, його варто видалити через «Інстальовані програми»: програма, якої немає в системі, не може бути вразливою. Для зашифрованих архівів знадобиться сторонній архіватор, і до нього застосовне те саме правило — регулярні оновлення.
Рекомендації для організацій
Провести інвентаризацію компʼютерів зі встановленим WinRAR і включити його до процесу керування оновленнями через засоби централізованого розгортання ПЗ — штатні канали Windows цього не роблять.
Видаляти WinRAR там, де він не потрібен для роботи: Malwarebytes радить розглядати його як необовʼязкове ПЗ.
Блокувати або ізолювати RAR-вкладення на поштовому шлюзі, якщо робочі процеси цього не вимагають, — таку рекомендацію дає Trend Micro.
Налаштувати моніторинг: ярлики (.lnk) і HTA-файли з випадковими назвами в папці автозавантаження, запуск mshta.exe з неї, а також cmd.exe, що запускає PowerShell у прихованому вікні.
У разі підозри на зараження — змінити паролі, збережені в браузерах, завершити активні сесії, увімкнути багатофакторну автентифікацію та повідомити про інцидент CERT-UA.
Як розпізнати небезпечний архів
Усі описані атаки обʼєднує одне: жертва сама відкриває архів. Тому найкращий захист — недовіра до вкладень, які тиснуть терміновістю: «повістка», «виконавчий документ», «судовий виклик», резюме від незнайомого кандидата. Лист зі зламаної скриньки держустанови виглядає цілком правдоподібно, тож несподіваний документ варто перевірити іншим каналом — дзвінком або повідомленням відомому контакту.
Є й технічна ознака. У кампанії RomCom, за описом ESET, WinRAR під час розпакування показував попередження про неіснуючі шляхи, а підозрілі адреси ховалися нижче у списку помилок. Будь-яке таке попередження під час розпакування документа — привід зупинитися, а не закрити вікно і продовжити роботу.
Читайте такожЯк безпечно завантажувати файли з інтернету і перевіряти їх перед відкриттям
Ця стаття Уразливості WinRAR: хронологія атак від 2019 до 2026 року і як захистити компʼютер раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня
