世界で5億人以上が利用するファイル圧縮の定番ツール「WinRAR」。その信頼性に深刻な亀裂を入れる脆弱性「CVE-2025-8088」が発覚した。この脆弱性は、すでにロシアに関連するとされるサイバー犯罪グループ「RomCom」によって実際の攻撃で悪用されており、ユーザーが意図せずマルウェアを自動的にインストールさせられる危険性がある。WinRARはすでに修正版をリリースしているものの、自動更新機能がないため、ユーザー自身による緊急の手動アップデートが必須となる状況だ。
アーカイブ展開がPC乗っ取りの引き金に
2025年8月、サイバーセキュリティの世界に衝撃が走った。ESET社のセキュリティ研究者、Anton Cherepanov氏、Peter Košinár氏、Peter Strýček氏らのチームが、WinRARのWindows版に潜む深刻な脆弱性を発見し、公表したのだ。この脆弱性は「CVE-2025-8088」として追跡され、その危険度は極めて高いと評価されている。
問題は、これが理論上の脅威に留まらなかった点にある。ESETの調査により、この脆弱性は発見される以前から「ゼロデイ脆弱性」として、特定の攻撃者グループによって活発に悪用されていた事実が明らかになった。つまり、開発者もユーザーも誰も知らないうちに、世界中で使われるソフトウェアがサイバー攻撃の踏み台と化していたのである。
攻撃者は「RomCom」と呼ばれるロシア系ハッキンググループ。彼らは巧妙に細工した悪意のあるRARアーカイブファイルを、スピアフィッシングメール（特定の標的を狙ったフィッシングメール）に添付して送りつけていた。ユーザーが何の疑いもなくこのファイルを開き、中身を展開しようとした瞬間に、見えないマルウェアがPCの心臓部に植え付けられる。この一連の動作に、ユーザー側での不審な警告や追加のアクションは一切不要だ。まさに、日常的な操作に潜む「時限爆弾」と言えよう。
脆弱性の核心：「ディレクトリトラバーサル」という古典的かつ強力な手口
今回発見されたCVE-2025-8088は、「ディレクトリトラバーサル（またはパストラバーサル）」と呼ばれる種類の脆弱性だ。
通常、WinRARでアーカイブファイルを展開（解凍）する場合、ファイルはユーザーが指定したフォルダ（例えば「デスクトップ」や「ダウンロード」フォルダ）内に作成される。プログラムは、指定された場所以外にファイルを作成してはならない。これはソフトウェアの基本的な約束事だ。
しかし、ディレクトリトラバーサルの脆弱性が存在すると、この約束事が破られる。攻撃者は、アーカイブファイル内のファイルパスに「../」といった特殊な文字列を仕込むことができる。これはコンピュータの世界で「一つ上の階層のディレクトリへ移動する」という意味を持つ命令だ。
これを悪用すると、攻撃者はWinRARを騙して、本来アクセスが許されていないシステム上の任意の場所にファイルを配置できてしまう。例えば、ユーザーが「デスクトップ」にファイルを展開しようとしても、悪意のあるファイルだけは全く別の、システムの重要なフォルダに書き込まれる、といった事態が発生する。
攻撃者が狙う急所「Windowsスタートアップフォルダ」
では、攻撃者は具体的にどこを狙うのか。今回の攻撃でRomComが標的としたのは、Windowsの「スタートアップ」フォルダだった。このフォルダは、PCの起動時やユーザーのログイン時に、中にあるプログラムを自動的に実行するという特殊な機能を持つ。
- ユーザー固有のスタートアップフォルダ:
%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup - 全ユーザー共通のスタートアップフォルダ:
%ProgramData%\Microsoft\Windows\Start Menu\Programs\StartUp
ここに一度マルウェアを設置されてしまえば、ユーザーがPCを再起動するたびに、マルウェアは自動的に起動する。これにより、攻撃者は被害者のPCへの永続的なアクセス権（Persistence）を確保し、情報を盗み出したり、別のマルウェアを送り込んだり、遠隔操作したりと、やりたい放題の状態を作り出せる。
古典的な手法ではあるが、OSの正規機能を悪用するため検知が難しく、極めて効果的だ。この攻撃の巧妙さは、ユーザーの日常的な「ファイル展開」という行為をトリガーに、システムの根深い部分を掌握する点にある。
暗躍するサイバー傭兵「RomCom」
今回の攻撃を仕掛けたRomCom（別名: Storm-0978, Tropical Scorpius, UNC2596）は、単なる愉快犯ではない。彼らはロシアとの関連が指摘される、高度な技術力を持つサイバー犯罪・諜報グループだ。
彼らの手口は多岐にわたり、過去には以下のような活動が確認されている。
- ランサムウェア攻撃: CubaやIndustrial Spyといったランサムウェアファミリーとの関連が指摘され、金銭目的の破壊活動も行う。
- ゼロデイ攻撃の常習犯: 未知の脆弱性を積極的に探し出し、攻撃に利用することで知られる。2024年後半にはFirefoxブラウザのゼロデイ脆弱性を悪用した事例も報告されている。
- カスタムマルウェアの開発: RomComバックドアに代表される独自のマルウェアを開発・使用し、検知を回避しながら長期間にわたり潜伏する能力を持つ。
彼らの活動は、国家が背後にいるサイバー諜報活動と、金銭目的のサイバー犯罪の境界線を曖昧にするものだ。今回のWinRARの脆弱性悪用も、彼らの活動ポートフォリオの一環であり、その標的が世界中に広がる可能性を示唆している。
5億ユーザーに委ねられた「手動更新」という課題
この深刻な事態に対し、WinRARの開発元であるRARLABは迅速に対応した。2025年7月30日にリリースされたWinRAR バージョン 7.13では、CVE-2025-8088の脆弱性が修正されている。このアップデートにより、アーカイブファイルが指定された展開先フォルダの外にコンテンツを配置することはブロックされる。
しかし、ここに大きな落とし穴が存在する。WinRARには、自動更新機能が搭載されていないのだ。
これは、世界中に存在する5億人以上のユーザー一人ひとりが、自らの手で公式サイトから最新版をダウンロードし、インストール作業を行わなければ、脆弱な状態のまま放置されることを意味する。多くのユーザーは、自分が使っているソフトウェアのバージョンを意識していない。ましてや、自ら更新情報を確認しにいくユーザーは少数派だろう。
このソフトウェアの配布モデルそのものが、今回の脆弱性の影響を計り知れない規模に拡大させる要因となっている。攻撃者にとって、これほど好都合な環境はない。パッチが公開されても、大多数のユーザーが適用しないであろうことを見越して、今後もこの脆弱性を狙った攻撃が続くと考えるのが自然だ。
これは単なる一ソフトウェアの問題ではなく、今日のソフトウェアエコシステムが抱える構造的課題の表れと言えるだろう。利便性とセキュリティのトレードオフの中で、自動更新という基本的な安全装置を持たない巨大なユーザーベースが、いかに大きなリスクを内包するか。この事例は、その警鐘を強く鳴らしている。
WinRARに潜む構造的欠陥の可能性
さらに懸念すべきは、これがWinRARにとって単発の事件ではないという事実だ。2025年6月にも、今回と酷似したディレクトリトラバーサルの脆弱性（CVE-2025-6218）が発見され、修正されている。
短期間に同種の脆弱性が複数発見されるという事実は、WinRARのコードベースに、ファイルパスの処理に関する根源的な、あるいは構造的な弱点が存在する可能性を示唆しているのではないだろうか。長年愛されてきたソフトウェアであるがゆえに、レガシーなコードが残り、現代のセキュリティ基準に照らし合わせた見直しが十分に行われてこなかったのかもしれない。
我々ユーザーは、「定番だから」「昔から使っているから」という理由だけでソフトウェアを無条件に信頼することの危うさを、改めて認識する必要がある。
今、我々がすべきこと
この脅威から身を守るために、我々は何をすべきか。
ユーザーが取るべき具体的な行動：
- 今すぐWinRARのバージョンを確認し、7.13以降に手動でアップデートする。 これが最も重要かつ効果的な対策だ。
- 安易にメールの添付ファイルを開かない。 特に、心当たりのない送信元からのRAR/ZIPファイルは、マルウェアである可能性を常に疑う。
- 信頼できるセキュリティソフトを導入・更新する。 最新のウイルス対策ソフトは、アーカイブファイル内に隠された脅威を検知できる場合がある。
- 定期的にスタートアップフォルダを確認する。 見慣れないプログラムがないか、時々チェックする習慣をつけることも有効だ。
開発者が学ぶべき教訓：
今回の事件は、ソフトウェア開発者にとっても重要な教訓を含んでいる。セキュアコーディングの徹底はもちろんのこと、ユーザーを危険から守るための仕組み、すなわち「自動更新機能」の実装は、もはや現代のソフトウェアにとって「推奨」ではなく「必須」の要件である。
WinRARという一つのツールが引き起こした今回の騒動は、我々のデジタルライフがいかに脆い基盤の上にあるかを浮き彫りにした。ソフトウェアはもはや単なる道具ではない。我々の生活や仕事を支えるインフラであり、その安全性は社会全体の責任において確保されなければならない。この一件を単なる技術ニュースとして消費するのではなく、自らのデジタル環境を見直す契機とすべきではないだろうか。
Sources
- Bleeping Computer: WinRAR zero-day exploited to plant malware on archive extraction
