微信Windows客户端发现高危漏洞，可致远程代码执行

ChMkLWh8mK6IM655AAAm5Mo9HWMAABX8gGJ7_MAACb8585.jpg

安全研究人员近日发现并验证了一个存在于微信Windows客户端的安全漏洞，该漏洞可能被攻击者利用以执行远程代码。
经分析，该漏洞是由“目录穿越”漏洞与“远程代码执行（RCE）”漏洞组成的复合型问题。攻击者可以构造特殊的恶意文件，诱导用户通过微信接收并触发该文件。在用户毫无察觉的情况下，攻击者即可远程执行任意代码，并可能进一步实现对系统的控制或维持持久访问权限，严重威胁终端安全。
漏洞的核心原因在于微信Windows客户端在处理聊天记录中文件的自动下载功能时，未对文件路径进行严格校验和过滤。
具体攻击方式为：攻击者通过发送带有恶意构造文件的聊天消息，当用户在微信中查看相关聊天记录时，该文件将被自动下载并复制到系统的启动目录中。攻击者通过目录穿越技术绕过微信的安全防护机制，将恶意代码植入Windows系统的关键路径，从而实现开机自启动。
一旦用户的计算机重启后，植入的恶意文件即被激活，攻击者便可远程控制受害主机，执行任意指令，对系统进行操控或长期驻留。
目前发现，微信Windows客户端3.9及更早版本均受到此漏洞影响。建议用户尽快前往官方渠道下载并安装最新版本，以消除潜在风险。