Il 28 gennaio 2026 Google Threat Intelligence Group (GTIG) ha pubblicato un allerta che documenta exploitation attivo della vulnerabilità path traversal CVE-2025-8088 in WinRAR Windows, nonostante la patch 7.13 fosse disponibile dal 30 luglio 2025. La convergenza di attori statali russi, cinesi e gruppi finanziari su una falla corretta sei mesi prima costituisce un caso studio sul fallimento sistemico del patch management in ambienti enterprise e consumer.
- ESET ha osservato RomCom sfruttare CVE-2025-8088 come zero-day già dal 18 luglio 2025, due settimane prima del rilascio della patch WinRAR 7.13.
- Google Threat Intelligence Group conferma exploitation attivo da Sandworm/APT44, Gamaredon/CARPATHIAN, Turla/SUMMIT, attore cinese non specificato e gruppi finanziari compreso un cluster brasiliano.
- Il meccanismo tecnico sfrutta path traversal con payload nascosto in Alternate Data Streams (ADS) di file decoy, con drop automatico nella Windows Startup folder per persistenza ed esecuzione al login.
- CISA ha inserito CVE-2025-8088 nel Known Exploited Vulnerabilities Catalog il 12 agosto 2025 con due date al 2 settembre 2025 per le agenzie federali statunitensi.
Il meccanismo: come un archivio RAR compromette il sistema
CVE-2025-8088 è classificata come CWE-35 Path Traversal con punteggio CVSS 3.1 di 8.8 (HIGH) secondo il record NVD ufficiale. La vulnerabilità consente a un archivio RAR malevolo di estrarre file in directory arbitrarie del sistema operativo Windows, bypassando i controlli di normalizzazione del percorso dell'archiviatore.
Il payload osservato da GTIG si struttura in due fasi. Il file malevolo, tipicamente un LNK, è nascosto in Alternate Data Streams (ADS) di file decoy apparentemente innocui. All'apertura dell'archivio da parte dell'utente — l'interazione è requisita, come confermato dal vettore UI:R nel CVSS — il path traversal permette l'estrazione in ../../../../../../Users/[username]/AppData/Roaming/Microsoft/Windows/Start Menu/Programs/Startup. Al successivo login, Windows esegue automaticamente il payload garantendo persistenza senza ulteriori azioni dell'utente.
Questa catena rende l'attacco particolarmente insidioso: una singola apertura di file, comportamento routinario in molti flussi di lavoro, genera compromissione persistente. La tecnica ADS aggiunge un layer di occultamento, poiché il payload principale rimane invisibile alle operazioni di file listing standard.
"The consistent exploitation method, a path traversal flaw allowing files to be dropped into the Windows Startup folder for persistence, underscores a defensive gap in fundamental application security and user awareness" — Google Threat Intelligence Group, via The Hacker News
Chi attacca: la mappa degli attori GTIG
GTIG identifica esplicitamente cinque cluster di minaccia attivi su CVE-2025-8088. I gruppi statali russi comprendono Sandworm (APT44/FROZENBARENTS), noto per operazioni di cyber sabotaggio; Gamaredon (CARPATHIAN), specializzato in intelligence collection in Ucraina e area post-sovietica; e Turla (SUMMIT), attore di lungo corso con focus europeo. Un attore cinese non ulteriormente specificato completa il fronte statale.
I payload associati riflettono specializzazione operativa. RomCom distribuisce SnipBot/NESTPACKER, Turla impiega STOCKSTAY, l'attore cinese utilizza Poison Ivy con tecnica specifica: batch script nella Startup folder che scarica un dropper. Cluster finanziari e criminali impiegano AsyncRAT, XWorm e backdoor Telegram bot. Un gruppo brasiliano è osservato con estensione Chrome malevola per phishing bancario, indicando riuso del vettore WinRAR anche contro obiettivi finanziari latinoamericani.
La sovrapposizione temporale è significativa: ESET ha documentato RomCom sullo zero-day già dal 18 luglio 2025. La finestra di exposure pre-patch, seguita da sei mesi di post-patch exploitation, suggerisce che la vulnerabilità è diventata un vettore standardizzato, non un'occasione opportunistica.
La commoditizzazione: 'zeroplayer' e l'economia dell'exploit
Parallelamente alle operazioni APT, GTIG traccia l'attività di 'zeroplayer', attore dell'underground economy che ha pubblicizzato exploit WinRAR per "migliaia di dollari" nelle settimane precedenti la disclosure pubblica. Questa timeline — commercializzazione prima della patch, exploitation massiccia dopo — indica un ciclo di commoditizzazione che abbassa la barriera tecnica per operatori di minaccia minori.
La citazione GTIG è esplicita: "Zeroplayer's continued activity as an upstream supplier of highlights the continued commoditization of the attack lifecycle". La disponibilità di exploit pronti all'uso consente a gruppi finanziari senza capacità di sviluppo interno di affiancare APT statali sullo stesso vettore tecnico.
Il dossier non specifica il prezzo esatto dell'exploit né conferma che 'zeroplayer' sia direttamente collegato a uno degli attori statali identificati. Il legame infrastrutturale tra fornitore underground e operatori rimane non documentato allo stato attuale.
Cosa fare adesso
L'interazione utente come prerequisito dell'attacco rende le misure operative immediatamente identificabili. La priorità assoluta è l'aggiornamento a WinRAR 7.13 o superiore, versione che corregge la vulnerabilità secondo il record NVD e la reportistica GTIG. La distribuzione deve coprire sia endpoint enterprise che installazioni consumer, data l'ubiquità del software.
La presenza di CISA KEV con due date al 2 settembre 2025 impone remediation tempestiva per le organizzazioni soggette a BOD 22-01, ma la logica di risposta si estende a tutti gli ambienti Windows. Il monitoraggio della Windows Startup folder e dei job di avvio utente costituisce controllo complementare per rilevare persistenze già insediate.
La limitazione operativa principale emerge dai dati non quantificati: GTIG non fornisce numero di vittime, percentuale di sistemi patchati a livello globale, o settori preferenziali di targeting oltre al riferimento geografico Ucraina-Brasile. Questi gap impediscono stime di rischio perimetrate: la priorità va calibrata sulla base della propria esposizione a WinRAR legacy e della capacità di deployment patch in tempi compressi.
Una seconda vulnerabilità WinRAR, CVE-2025-6218 con CVSS 7.8, è segnalata da GTIG come sfruttata da GOFFEE, Bitter e Gamaredon. Questo pattern multi-CVE sullo stesso prodotto rafforza la valutazione di WinRAR come vector di persistenza standardizzato nel panorama delle minacce.
Perché questo n-day non muore
Il paradosso del caso CVE-2025-8088 sta nella sua banalità tecnica: non è un exploit sofisticato che richiede catene complesse, ma una sequenza ../.. che un software installato su milioni di endpoint non neutralizza. La persistenza via Startup folder è una tecnica documentata da anni, il cui successo dipende dalla discrepanza tra patch disponibile e patch applicata.
La convergenza di Sandworm e di un gruppo criminale brasiliano sullo stesso vector indica che la barriera non è più geopolitica o di capacità, ma puramente operativa: chi ha accesso all'exploit, chi ha target che eseguono WinRAR non aggiornato, chi ha margini di interazione sociale sufficienti a far aprire un archivio. In questo senso, CVE-2025-8088 funziona come equalizzatore tecnico tra minaccia avanzata e minaccia opportunistica.
Il dossier GTIG, pur nella sua solidità evidenziaria, lascia aperto il problema di fondo: senza metriche di adozione patch, senza visibilità sulla superficie di attacco residua, la comunità difensiva opera contro un blind spot dimensionale. L'allerta del 28 gennaio 2026 non è una notizia di zero-day: è la conferma che un n-day può essere più pericoloso della sua versione pre-patch, perché la consapevolezza della sua esistenza non si traduce in remediation.
Fonti
- https://thehackernews.com/2026/01/google-warns-of-active-exploitation-of.html
- https://nvd.nist.gov/vuln/detail/cve-2025-8088
- https://nvd.nist.gov/vuln/categories
- https://nvd.nist.gov/vuln/data-feeds
- https://nvd.nist.gov/vuln/vendor-comments
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.