31 anni e non sentirli: WinRAR si aggiorna e corregge due vulnerabilità

WinRAR 7.23 Final è disponibile dal 30 giugno 2026 e corregge due vulnerabilità che riguardano funzioni centrali del programma: la ricostruzione dei volumi di recupero RAR5 e l’estrazione di archivi manipolati tramite link simbolici. Aggiorna inoltre alla versione 26.02 la libreria 7zxa.dll impiegata per estrarre i file 7z. Per chi usa ancora una versione precedente, la conclusione è semplice: questo non è un aggiornamento da rimandare.

Il primo problema è un heap overflow nel codice che ricostruisce i dati dei volumi di recupero RAR5. Coinvolge WinRAR, RAR e UnRAR, ma non UnRAR.dll, perché la libreria non elabora questo tipo di volume. È una distinzione tecnica importante: la correzione non interessa indistintamente ogni componente distribuito con la famiglia RAR, bensì quelli che gestiscono concretamente la funzione vulnerabile.

La seconda falla consentiva a un archivio RAR appositamente preparato di creare un link simbolico diretto fuori dalla cartella scelta per l’estrazione. I nuovi controlli impediscono che quel collegamento venga poi sfruttato per depositare file altrove, anche quando l’operazione è suddivisa in più comandi di estrazione. La 7.23 interviene dunque non soltanto sulla creazione del link, ma anche sul suo possibile riutilizzo durante le operazioni successive.

Completa l’aggiornamento 7zxa.dll 26.02, la libreria usata da WinRAR per estrarre gli archivi 7z. Questa versione, pubblicata il 25 giugno 2026, include correzioni di bug e vulnerabilità. È un dettaglio che ricorda quanto WinRAR sia diventato, nell’uso quotidiano, qualcosa di più ampio del solo formato che porta nel nome: crea archivi RAR e ZIP, ma può estrarre anche 7Z, CAB, ARJ, LZH, TAR, GZ, XZ, BZ2, UUE, JAR, Z e ISO.

Un aggiornamento che bisogna cercare

Il punto pratico è che WinRAR non dispone di aggiornamenti automatici. La versione corretta deve quindi essere scaricata e installata manualmente: non basta continuare ad aprire il programma aspettando che provveda da solo. Alla data del 30 giugno 2026, la 7.23 Final è la versione stabile corrente e l’installer italiano a 64 bit occupa 4.011 KB.

Su Windows, WinRAR 7.23 a 64 bit è disponibile per Windows 11, Windows 10 e Windows 8.1. RAR 7.23 a riga di comando viene offerto anche per Linux x64, FreeBSD x64 e macOS ARM/x64, mentre l’app RAR per Android resta alla versione 7.22 build 132. Chi utilizza WinRAR su un PC compatibile ha quindi una scelta poco controversa: installare manualmente la 7.23 e portare con sé entrambe le correzioni.

Questa necessità pesa più del solito perché WinRAR conta oltre 500 milioni di installazioni. La sua permanenza sui computer non deriva soltanto dalla familiarità dell’icona o dal celebre promemoria di registrazione: nasce da una combinazione rimasta riconoscibile per tre decenni, fatta di integrazione nel menu contestuale di Windows, archivi solidi e multivolume, riparazione dei dati e compatibilità con numerosi formati.

Da Roshal Archive a RAR5

La storia comincia nell’autunno del 1993, quando debuttano RAR e UNRAR a riga di comando. RAR significa “Roshal Archive”, dal cognome del suo creatore Eugene Roshal, e nasce come formato proprietario. Il passaggio decisivo per il pubblico Windows arriva il 22 aprile 1995 con WinRAR 1.54 beta per Windows 3.x, la prima versione nota dell’interfaccia grafica.

WinRAR rende accessibili da Windows caratteristiche che avrebbero definito a lungo il programma: archivi multivolume, modalità solid e strumenti di recupero. Il 20 febbraio 2002 nasce a Berlino win.rar GmbH, che dal successivo 1º aprile gestisce pubblicazione, licenze, vendite e supporto dei prodotti RARLAB. Poche settimane dopo, il 15 maggio, WinRAR 3.0 introduce il formato RAR3, la cifratura AES a 128 bit, un dizionario da 4 MB, la modalità Wizard, il supporto ISO e i volumi di recupero .rev.

La trasformazione più importante del formato moderno arriva il 3 settembre 2013 con WinRAR 5.0. RAR5 porta AES a 256 bit, BLAKE2sp, dizionari fino a 1 GB nella versione a 64 bit, percorsi fino a 2.048 caratteri e nuovi record di recupero Reed-Solomon. In un test su un archivio da 1 GB, il recovery record RAR5 permette di riparare nove volte più danni rispetto al formato precedente.

WinRAR 6.00 esce il 7 dicembre 2020, a 25 anni dalla prima versione, migliorando la gestione simultanea di più archivi e l’estrazione dai volumi solidi. Con la 7.00 del 28 febbraio 2024 il dizionario massimo RAR sale addirittura a 64 GB, la lunghezza dei percorsi raggiunge 65.535 caratteri e viene rimossa la possibilità di creare archivi RAR4.

Anche la sicurezza ha scandito gli aggiornamenti più recenti. WinRAR 7.12, pubblicato il 25 giugno 2025, corregge una vulnerabilità di directory traversal su Windows e un’iniezione HTML nei rapporti generati. Il 30 luglio dello stesso anno, la 7.13 risolve una seconda vulnerabilità di directory traversal, distinta dalla precedente e catalogata come CVE-2025-8088. La 7.23 prosegue ora quella manutenzione intervenendo su altri due problemi.

I 40 giorni non sono una licenza gratuita

Nel frattempo è sopravvissuto anche il modello commerciale più riconoscibile del programma. La prova completa dura 40 giorni; dopo la scadenza, la licenza richiede di acquistare WinRAR oppure disinstallarlo. Il software, però, continua tecnicamente a funzionare mostrando il promemoria di registrazione, comportamento che ha alimentato uno dei tormentoni più longevi dell’informatica personale.

È bene non confondere quel comportamento con il freeware: i 40 giorni costituiscono il periodo legale di valutazione. Le licenze acquistate sono perpetue, mentre la disponibilità degli aggiornamenti futuri dipende dalle condizioni del pacchetto di manutenzione scelto. La longevità del programma non modifica dunque i termini con cui viene distribuito.

Proprio qui la nostalgia deve lasciare spazio alla decisione concreta. WinRAR 7.23 non cambia l’identità del programma: continua a creare RAR e ZIP, a gestire molti altri formati e a offrire cifratura AES a 256 bit, archivi solidi, volumi di recupero e riparazione. Cambia però la sicurezza con cui due di queste attività vengono eseguite, eliminando un heap overflow e bloccando l’estrazione fuori dalla destinazione tramite link simbolici.

Chi conserva WinRAR perché lo utilizza davvero, e non soltanto perché è sempre stato lì, dovrebbe quindi verificare la versione e installare manualmente la 7.23. È il gesto meno romantico e più coerente con la storia di questo software: un programma nato nel 1995, arrivato a oltre 500 milioni di installazioni e ancora mantenuto nel 2026 merita di essere ricordato nella sua forma corretta, non in una build vulnerabile.

Dove trovarlo: pagina di download ufficiale