Celah WinRAR CVE-2025-8088: Arsip Berbahaya yang Dipakai Kelompok APT

Celah WinRAR CVE-2025-8088 adalah kerentanan path traversal yang dipakai kelompok peretas untuk menyelipkan berkas berbahaya lewat arsip RAR yang tampak biasa. Celah ini diperbaiki di WinRAR 7.13 pada 30 Juli 2025 dan masuk daftar CISA KEV pada 12 Agustus 2025. Karena WinRAR tidak memiliki fitur pembaruan otomatis, salinan versi lama bisa bertahan di komputer yang tidak dikelola, sehingga pemeriksaan manual tetap penting.

Ringkasan Celah WinRAR CVE-2025-8088

• CVE: CVE-2025-8088.
• Produk terdampak: WinRAR untuk Windows hingga versi 7.12, termasuk komponen UnRAR.dll dan perangkat lunak lain yang menanamkan kode UnRAR versi Windows yang belum diperbarui.
• Jenis kerentanan: path traversal. Berkas dalam arsip dapat tertulis di luar folder tujuan ekstraksi.
• Skor CVSS: 8,8 (High) pada CVSS 3.1 menurut NIST/NVD, dan 8,4 (High) pada CVSS 4.0 menurut ESET sebagai CNA.
• Status eksploitasi: dieksploitasi di dunia nyata sebagai zero-day. Masuk CISA KEV pada 12 Agustus 2025, tenggat 2 September 2025. Katalog KEV juga menandai celah ini dikenal dipakai dalam kampanye ransomware.
• Versi perbaikan: WinRAR 7.13 (rilis 30 Juli 2025).

Apa yang Terjadi: Arsip yang Menaruh Berkas di Tempat Salah

Pada 18 Juli 2025, peneliti ESET menemukan sebuah DLL mencurigakan di dalam arsip RAR dan menelusurinya sampai ke zero-day ini. Kampanye spearphishing yang memakai arsip tersebut berlangsung pada 18-21 Juli 2025, menyasar perusahaan keuangan, manufaktur, pertahanan, dan logistik di Eropa dan Kanada dengan umpan berupa CV dan dokumen lamaran kerja palsu. ESET memberi tahu pengembang WinRAR pada 24 Juli, dan versi 7.13 rilis enam hari kemudian. Menurut ESET, telemetri mereka tidak menunjukkan adanya organisasi sasaran yang berhasil dikompromikan.

Secara konsep, celah ini memanfaatkan cara WinRAR menangani jalur berkas di dalam arsip, dengan bantuan fitur alternate data stream pada sistem berkas NTFS. Hasilnya, berkas yang dimaksudkan masuk ke folder ekstraksi bisa mendarat di lokasi lain, misalnya folder Startup Windows atau folder sementara. Berkas di folder Startup akan berjalan saat pengguna login berikutnya. Kami sengaja tidak merinci struktur arsip, karena tujuan artikel ini adalah membantu bertahan, bukan mereproduksi serangan.

Siapa yang Memakainya: RomCom dan Aktor Lain

ESET mengaitkan eksploitasi awal dengan RomCom (juga dilacak sebagai Storm-0978, Tropical Scorpius, atau UNC2596), kelompok yang selaras dengan Rusia, dengan tingkat keyakinan tinggi. ESET juga menyebut setidaknya satu aktor lain mulai memakai celah yang sama beberapa hari setelah RomCom, dan bahwa perusahaan keamanan BI.ZONE menemukan celah ini secara independen. Payload yang dilaporkan ESET mencakup varian SnipBot, agen Mythic, serta downloader RustyClaw dan MeltingClaw, yang dipakai untuk menjalankan perintah dan mengunduh komponen tambahan.

Pelajaran penting dari kasus ini: tidak perlu menyerang sistem yang dijaga ketat bila celah ada di perangkat lunak yang dipakai semua orang. Utilitas kompresi adalah target menarik karena hampir setiap karyawan memakainya dan membuka lampiran email dari luar organisasi.

Mengapa Celah WinRAR Mudah Bertahan Lama

Menurut BleepingComputer, WinRAR tidak memiliki fitur pembaruan otomatis, sehingga pengguna harus mengunduh dan memasang versi terbaru secara manual. Sebagai panduan umum, yang juga berlaku bagi organisasi dan pengguna rumahan di Indonesia: versi 7.12 ke bawah bisa bertahan lama di komputer yang tidak dikelola terpusat, misalnya komputer rumah, sekolah, atau kantor kecil. Karena itu, penambalan hampir selalu bersifat manual atau lewat alat distribusi perangkat lunak. Konteks risiko lampiran email dibahas di serangan email pada perusahaan dan apa itu phishing.

Cara Memeriksa Paparan dan Memperbaiki WinRAR

1. Inventarisasi. Cari semua komputer yang memasang WinRAR dan catat versinya. Buka WinRAR, menu Help, lalu About WinRAR, atau gunakan alat inventaris perangkat lunak.
2. Perbarui. Pasang WinRAR 7.13 atau lebih baru dari sumber resmi RARLAB. Untuk lingkungan terkelola, distribusikan lewat alat manajemen perangkat lunak.
3. Periksa komponen tertanam. Aplikasi lain yang menyertakan UnRAR.dll atau kode UnRAR versi Windows perlu diperbarui oleh vendor aplikasinya.
4. Jika tidak bisa memperbarui, copot instalasi lama atau blokir penggunaannya untuk lampiran dari luar. Ini sesuai arahan CISA: terapkan mitigasi vendor atau hentikan pemakaian bila mitigasi tidak tersedia.

Perlu diingat bahwa memperbarui satu aplikasi tidak menyelesaikan masalah kelas ini. Aplikasi pihak ketiga yang menanam kode ekstraksi arsip juga bisa terdampak, dan banyak di antaranya tidak diperbarui otomatis. Minta vendor atau pengembang internal memastikan komponen yang mereka sertakan sudah memakai versi terbaru.

Deteksi dan Pencegahan Berlapis

Selain menambal, siapkan deteksi sederhana di endpoint. Pantau berkas baru berjenis pintasan, DLL, atau executable yang muncul di folder Startup, folder sementara, atau folder data aplikasi pengguna tepat setelah ekstraksi arsip. Pantau juga proses yang diluncurkan dari lokasi tersebut. Karantina lampiran RAR dari pengirim luar di gateway email, dan latih pengguna agar tidak mengekstrak arsip tak terduga. Pertimbangkan membatasi hak pengguna dan memakai solusi endpoint security yang dapat memblokir eksekusi dari folder yang tidak lazim. Jika ada indikasi kompromi, aktifkan prosedur incident response: isolasi mesin, kumpulkan bukti, dan ganti kredensial.

Linimasa Singkat

• 19 Juni 2025: celah path traversal terkait, CVE-2025-6218, diungkap.
• 18 Juli 2025: ESET menemukan zero-day ini; spearphishing berlangsung 18-21 Juli.
• 24 Juli 2025: ESET memberi tahu pengembang; WinRAR 7.13 beta 1 terbit.
• 30 Juli 2025: WinRAR 7.13 dirilis.
• 12 Agustus 2025: CISA menambahkan CVE-2025-8088 ke KEV.
• 9 Desember 2025: CVE-2025-6218 juga masuk KEV.

Baca juga: Celah SAP NetWeaver Visual Composer CVE-2025-31324.

Pertanyaan yang Sering Diajukan

Apakah WinRAR di macOS atau Linux terdampak?

Deskripsi CVE di NVD hanya menyebut WinRAR versi Windows, dan ESET menyebut komponen UnRAR versi Windows. Versi untuk sistem operasi lain tidak disebut terdampak.

Apakah membuka arsip RAR saja sudah berbahaya?

Risiko muncul saat arsip diekstrak dengan versi yang rentan. Arsip yang berasal dari pengirim tidak dikenal tetap sebaiknya tidak dibuka.

Apakah 7-Zip atau alat lain aman?

Celah ini spesifik untuk WinRAR dan komponen UnRAR Windows. Alat lain punya riwayat celahnya sendiri, jadi tetap perbarui semuanya.

Bagaimana saya memahami CVE-2025-8088 dalam konteks CVSS dan KEV?

Baca apa itu CVE dan panduan CISA KEV. Entri KEV berarti eksploitasi sudah terbukti, jadi prioritaskan.

Kesimpulan

Celah WinRAR CVE-2025-8088 menunjukkan bahwa utilitas sehari-hari pun bisa menjadi pintu masuk APT. Perbarui ke 7.13 atau lebih baru, inventarisasi salinan yang tersebar, dan pasang deteksi untuk berkas baru di folder Startup. Jika tim Anda ingin membangun kemampuan membaca dan menangani insiden semacam ini, lihat program pelatihan Linuxhackingid.