WinRAR behebt Heap-Overflow in RAR5-Wiederherstellungsdateien

WinRAR 7.23, veroeffentlicht am 30. Juni 2026, behebt einen Heap-Overflow-Fehler (CVE-2026-14191) bei der Reparatur mehrteiliger RAR5-Archive. Der Fehler erfordert eine manipulierte .rev-Datei plus eine Reparaturaktion, und da WinRAR kein Auto-Update hat, erreicht Sie die Korrektur erst nach dem manuellen Download von 7.23.

Last reviewed: 2026-07-08

Published July 8, 2026

---

Was passiert ist

RARLAB veroeffentlichte WinRAR 7.23 am 30. Juni 2026 und schloss damit einen Heap-Overflow-Fehler, den Forscher Arjun Basnet (Securin Labs) im Code gemeldet hatte, der ein beschaedigtes mehrteiliges Archiv aus RAR5-Wiederherstellungsvolumes (.rev-Dateien) rekonstruiert. Eine spaetere .rev-Datei im Satz kann eine Datensatznummer angeben, die der Code nie gegen den reservierten Puffer prueft, sodass eine manipulierte Datei angreiferkontrollierte Daten ueber dessen Ende hinaus schreiben kann. RARLAB nennt dies eine Variante eines 2023er-Fehlers (CVE-2023-40477), der damals nur im aelteren RAR3-Format behoben wurde - RAR5 blieb bis zu dieser Version angreifbar. UnRAR.dll ist nicht betroffen, da diese Bibliothek keine Wiederherstellungsvolumes verarbeitet; WinRAR, die RAR/UnRAR-Kommandozeilenwerkzeuge und RAR fuer Android haben die Korrektur uebernommen.

Zum Ausloesen reicht das Oeffnen einer Datei nicht: Ein Ziel muss "Repair archive," einen unrar t-Test oder die automatische Wiederherstellung bei einem unvollstaendigen Satz ausfuehren - gegen ein Archiv mit praeparierter .rev-Datei. Schweregrad CVSS 7.8; Tracker verzeichnen bisher keinen oeffentlichen Exploit-Code und keine bestaetigte Ausnutzung - anders als bei einem aelteren, bereits behobenen WinRAR-Fehler, den Angreifer monatelang ausnutzten, weil viele Installationen nie aktualisiert wurden.

Warum das fuer Ihre alltaeglichen Dateien wichtig ist

Wiederherstellungsvolumes sind optionale .rev-Dateien, die manche Archivierungswerkzeuge hinzufuegen, damit ein mehrteiliger RAR-Satz rekonstruiert werden kann, falls ein Teil fehlt oder beschaedigt ist. Die meisten Menschen kommen nie direkt damit in Kontakt, aber sie reisen weiterhin in alten Backup-Saetzen und Archiven mit, die jemand anderes Ihnen weiterleitet. Eine Filterung nach Dateiendung erfasst das nicht: Die Schadfunktion steckt in einer normal aussehenden .rev-Datei, und ein Gateway, das nur prueft "ist das eine .zip- oder .rar-Datei", laesst diese begleitende Datei durch. WinRAR hat zudem kein automatisches Update, sodass eine heute veroeffentlichte Korrektur unbegrenzt unangewendet bleiben kann, sofern niemand sie manuell installiert.

Was Sie jetzt mit Ihren Dateien tun sollten

• Aktualisieren Sie Desktop-WinRAR manuell. Pruefen Sie Ihre Version unter "About WinRAR" und laden Sie 7.23 oder neuer von der offiziellen Website herunter, falls Sie im Rueckstand sind - die Korrektur kommt nicht von selbst an.
• Verzichten Sie bei unerwarteten mehrteiligen Saetzen auf die Reparatur. Wenn ein .rar/.r00/.rev-Paket von einer unerwarteten Person eintrifft, fuehren Sie "Repair archive" oder einen Wiederherstellungstest erst aus, wenn Sie den Absender bestaetigt haben.
• Nutzen Sie fuer einfaches ZIP ein Browser-Werkzeug. Das Entpacken oder Erstellen eines Archivs - nicht das Reparieren eines beschaedigten RAR-Satzes - funktioniert im Online-Entpacker und im Online-ZIP-Ersteller, ganz ohne Desktop-Installation.
• Brauchen Sie noch RAR oder 7z? Der Leitfaden zum Entpacken von Dateien zeigt die sicherste Option je Format; der Vergleich der Archivformate erklaert, warum RAR eine eigene App braucht und ZIP nicht.

Quellen

• RARLAB / win-rar.com - Veroeffentlichung von WinRAR 7.23 Final (Primaerquelle, 30. Juni 2026)
• CVE-2026-14191 Sicherheitsluecken-Eintrag - Heap-Schreibzugriff ausserhalb der Grenzen im RAR5-Wiederherstellungsvolume-Parser
• Cyber Security News - WinRAR 7.23 Fixes Heap Overflow Vulnerability that Leads to Application Crashes
• Malwarebytes - WinRAR flaw could allow attackers to take control of your computer

← Zurueck zu Neuigkeiten