WinRAR, con más de 500 millones de usuarios según la propia compañía,
ha publicado la versión 7.23 — una actualización centrada 100% en
seguridad, sin funciones nuevas de cara al usuario, pero que conviene
instalar cuanto antes.
El fallo principal: una variante de un problema de 2023
La vulnerabilidad más grave, catalogada como CVE-2026-14191,
es un desbordamiento de memoria (heap overflow) en el código que
reconstruye datos de volúmenes de recuperación RAR5 — los ficheros
.rev que usa WinRAR para reparar archivos multi-volumen dañados.
Es, de hecho, una variante de un fallo ya corregido en 2023
(CVE-2023-40477), lo que demuestra que el código de recuperación de
volúmenes sigue siendo terreno delicado años después.
Un archivo .rev manipulado puede hacer que WinRAR escriba datos fuera
de la memoria que tiene reservada, lo que en el peor caso permite
ejecución de código arbitrario en el equipo de la víctima — no hace
falta que abras nada "raro" a propósito, basta con procesar un volumen
de recuperación malicioso.
El segundo fallo: enlaces simbólicos que escapan de la carpeta
WinRAR 7.23 también corrige un problema de path-traversal: hasta ahora,
un archivo RAR manipulado podía crear un enlace simbólico apuntando
fuera de la carpeta de destino, incluso sin tener activado el modificador-ola que se supone controla ese comportamiento. La nueva versión
bloquea la colocación de ficheros a través de esos enlaces, cerrando
esa vía de ataque.
Por qué importa especialmente en entornos de servidor
Aunque parezca una herramienta puramente de escritorio, UnRAR/RAR se
integra habitualmente como componente de backend en servidores de
correo, sistemas de backup, y flujos de procesamiento automático de
archivos — lugares donde las operaciones de extracción pueden dispararse
sin que nadie las active manualmente. Si gestionas infraestructura que
depende de estas herramientas en el servidor, no basta con actualizar
tu propio escritorio.
El problema de fondo: WinRAR no se actualiza solo
Aquí está el matiz que más pesa: WinRAR sigue sin tener actualizaciones
automáticas, así que corregir el fallo no sirve de nada si el usuario
nunca se entera de que existe la nueva versión. Ya ha pasado antes que
grupos de atacantes explotaran vulnerabilidades de WinRAR corregidas
hace tiempo, simplemente porque una parte enorme de la base de usuarios
seguía en versiones antiguas sin saberlo.
Qué hacer
Descarga manualmente la 7.23 desde la web oficial (eligiendo correctamente
32/64 bits o ARM según tu sistema). Si administras equipos en una
organización, plantéate si WinRAR es realmente necesario en cada máquina
— si no lo usan por motivos de trabajo, retirarlo reduce superficie de
ataque sin más.
