国内两大安全研究机构火绒安全团队与360漏洞研究院近日联合披露，微信Windows客户端存在严重安全漏洞。该漏洞由"目录穿越"与"远程代码执行(RCE)"两个漏洞链式组合触发，攻击者可借此在用户毫无察觉的情况下完全控制系统。
技术分析显示，漏洞源于微信在处理聊天记录文件自动下载功能时存在路径校验缺陷。攻击者只需发送包含恶意文件的聊天消息，当接收方查看聊天记录时，恶意文件便会自动下载并被复制至系统启动目录。通过精心构造的目录穿越攻击，攻击者能够突破微信的安全防护，将恶意代码植入Windows系统关键位置。
更危险的是，该漏洞允许恶意程序实现开机自启动。这意味着一旦用户重启电脑，攻击者就能获得系统完全控制权，执行任意远程代码操作。经确认，微信Windows客户端3.9及以下版本均受此漏洞影响。
安全专家强烈建议用户立即前往微信官网下载最新版本客户端进行升级，以消除安全隐患。同时提醒用户保持警惕，不要轻易点击来源不明的聊天文件，确保终端安全防护软件处于正常工作状态。
浙公网安备 33010502007447号