WinRAR corrige falha de heap-overflow nos arquivos de recuperacao RAR5

WinRAR 7.23, lancado em 30 de junho de 2026, corrige uma falha de heap-overflow (CVE-2026-14191) na forma como o aplicativo repara arquivos RAR5 multi-volume. A falha exige um arquivo .rev de recuperacao malicioso mais uma acao de reparo para ser acionada, e como o WinRAR nao tem atualizacao automatica, a correcao so chega a voce quando baixar a versao 7.23 manualmente.

Last reviewed: 2026-07-08

Published July 8, 2026

---

O que aconteceu

A RARLAB lancou o WinRAR 7.23 em 30 de junho de 2026, corrigindo uma falha de heap-overflow que o pesquisador Arjun Basnet, da Securin Labs, reportou no codigo que reconstroi um arquivo multi-volume danificado a partir de volumes de recuperacao RAR5 (arquivos .rev). Um arquivo .rev posterior no conjunto pode declarar um numero de registro que o codigo nunca verifica contra o buffer que o WinRAR ja alocou, permitindo que um arquivo malicioso escreva dados controlados pelo atacante alem do fim desse buffer. A RARLAB chama isso de uma variante de uma falha de 2023 (CVE-2023-40477) que na epoca foi corrigida apenas no formato RAR3 mais antigo - o RAR5 ficou exposto ate esta versao. O UnRAR.dll nao e afetado, ja que essa biblioteca nunca processa volumes de recuperacao; o WinRAR, as ferramentas de linha de comando RAR/UnRAR e o RAR para Android herdaram a correcao.

Explorar a falha exige mais do que abrir um arquivo: e preciso executar "Repair archive," um teste unrar t, ou a recuperacao automatica que o WinRAR tenta em um conjunto incompleto, contra um arquivo enviado com um .rev armadilhado. A gravidade fica em CVSS 7.8; os rastreadores nao listam codigo de exploracao publico nem uso confirmado no mundo real ate agora - diferente de uma falha mais antiga e ja corrigida do WinRAR que atacantes continuaram explorando por meses porque muitas instalacoes nunca foram atualizadas.

Por que isso importa para seus arquivos do dia a dia

Volumes de recuperacao sao arquivos .rev opcionais que algumas ferramentas de compactacao adicionam para que um conjunto RAR multi-parte possa ser reconstruido se uma parte se perder ou for corrompida. A maioria das pessoas nunca toca neles diretamente, mas eles ainda viajam dentro de backups antigos e de arquivos que alguem te encaminha. Filtrar por extensao de arquivo nao resolve: o payload vive dentro de um arquivo .rev de aparencia normal, e um filtro que so verifica "isso e um .zip ou .rar" deixa esse arquivo irmao passar. O WinRAR tambem nao tem atualizacao automatica, entao uma correcao lancada hoje pode ficar sem ser aplicada indefinidamente, a menos que alguem a instale manualmente.

O que fazer com seus arquivos agora

• Atualize o WinRAR de mesa manualmente. Veja sua versao em "About WinRAR" e baixe a 7.23 ou mais recente no site oficial se estiver atrasado - a correcao nao chega por conta propria.
• Evite reparar conjuntos multi-volume inesperados. Se um pacote .rar/.r00/.rev chegar de alguem inesperado, nao execute "Repair archive" nem um teste de recuperacao nele antes de confirmar o remetente.
• Use uma ferramenta no navegador para ZIP simples. Extrair ou criar um arquivo - e nao reparar um conjunto RAR danificado - funciona na ferramenta online de descompactacao e no criador de ZIP online, sem instalar nada no computador.
• Ainda precisa de RAR ou 7z? O guia de roteamento para extrair arquivos mostra a opcao mais segura para cada formato; a comparacao de formatos de arquivo explica por que o RAR exige um aplicativo dedicado e o ZIP nao.

Sources

• RARLAB / win-rar.com - lancamento do WinRAR 7.23 Final (fonte primaria, 30 de junho de 2026)
• Registro da vulnerabilidade CVE-2026-14191 - escrita fora dos limites no parser de volumes de recuperacao RAR5
• Cyber Security News - WinRAR 7.23 Fixes Heap Overflow Vulnerability that Leads to Application Crashes
• Malwarebytes - WinRAR flaw could allow attackers to take control of your computer

← Voltar para Noticias