WinRAR aktualisiert sich nicht selbst — und genau das ist das Problem

WinRAR hat keinen Update-Mechanismus. Kein Hintergrunddienst, keine Meldung beim Start, kein Hinweis darauf, dass die installierte Fassung drei Jahre alt ist. Was einmal ausgerollt wurde, bleibt stehen, bis jemand von Hand eine neue Datei herunterlädt. Deshalb stehen vier WinRAR-Lücken im CISA-Katalog nachweislich ausgenutzter Schwachstellen — drei davon mit Ransomware-Kennzeichnung.

Warum es keinen Updater gibt

Das ist kein Versehen. Auf die Frage von PCMag im November 2023 antwortete WinRAR-Entwickler Eugene Roshal, Windows biete keinen Weg, aus dem Netz geladene Desktop-Anwendungen automatisch zu aktualisieren; jeder Entwickler müsse das Rad neu erfinden. Update-Hinweise habe RARLAB erwogen — Administratoren in Unternehmen hätten abgewinkt, sie bevorzugten eine zentrale Softwareverteilung gegenüber Meldungen auf den Rechnern ihrer Nutzer.

Das Argument trägt — solange diese zentrale Verteilung existiert und WinRAR darin auftaucht. In vielen Umgebungen stimmt beides nicht. WinRAR wurde einmal installiert, weil jemand ein RAR-Archiv öffnen musste, und danach nie wieder angefasst. Der Hersteller schweigt aus Rücksicht auf ein Verfahren, das an dieser Stelle niemand eingerichtet hat.

Was das bisher gekostet hat

Alle außer CVE-2025-6218 tragen zusätzlich CISAs Ransomware-Kennzeichnung. Achte auf die Spannweite: sieben Jahre zwischen der ältesten und der jüngsten Kennung. Ein Rechner, der 2018 aufgesetzt und nie wieder angefasst wurde, ist nicht einen Patch im Rückstand, sondern vier getrennte Vorfälle.

Die älteste Lücke saß in einer DLL für das ACE-Archivformat, die seit 2005 nicht mehr gepflegt worden war. Check Point fand sie 2019 und bezifferte das Alter des Fehlers auf 19 Jahre; RARLAB hatte keinen Quelltext für die Bibliothek und warf die ACE-Unterstützung kurzerhand hinaus. 2023 dokumentierte Group-IB, wie ein ZIP-Archiv mit einem Ordner, der genauso hieß wie die harmlose Datei daneben, aus einem Doppelklick eine Skriptausführung machte — ausgenutzt seit April 2023 auf Trading-Foren, später laut Googles Threat Analysis Group auch von staatlich unterstützten Gruppen aufgegriffen. 2025 führte ESET als Bewerbungsunterlagen getarnte Spearphishing-Archive auf die russlandnahe Gruppe RomCom zurück: Die Archive versteckten Dateien in alternativen Datenströmen und legten sie beim Entpacken im Autostart-Ordner ab. RARLAB behob die Lücke noch am Tag der Meldung, dem 24.07.2025; die fertige Fassung 7.13 folgte sechs Tage später.

Eine Zeile lohnt einen zweiten Blick. CVE-2025-6218, längst in 7.12 behoben, kam knapp vier Monate nach CVE-2025-8088 in den KEV-Katalog, für das es 7.13 brauchte. Dass eine Lücke heute still ist, ist kein Beleg dafür, dass sie still bleibt. Die KEV-Liste vergibt keinen Schweregrad — sie vergibt ein Datum.

Drei Wege, die tatsächlich funktionieren

Einen Paketmanager die Arbeit machen lassen. winget kennt das Produkt unter der Kennung RARLab.WinRAR, Chocolatey unter winrar. Damit ist winget upgrade --id RARLab.WinRAR oder choco upgrade winrar die ganze Arbeit. Ein Haken: Ein Bericht im winget-Paketverzeichnis beschreibt, wie die Versionserkennung danach hängen bleibt — die neue Fassung wird installiert und vom Programm auch angezeigt, in wingets Liste offener Aktualisierungen steht sie trotzdem weiter; der Melder vermutet den lokalisierten Installer als Ursache. Prüfe am installierten Programm nach, nicht an der Ausgabe des Werkzeugs.

Über die vorhandene Softwareverteilung ausrollen. Ein MSI-Paket gibt es nicht, aber der Installer nimmt Schalter entgegen. Das winget-Manifest zur Fassung 7.23.0 hält -s1 für die stille Installation fest, -s2 für still mit Fortschrittsanzeige und -d"C:\Pfad" für den Zielordner — genug, um ihn für Intune, SCCM oder ein vergleichbares Werkzeug zu verpacken. Und um zu wissen, was überhaupt installiert ist, liest du die Dateiversion aus, statt Nutzer zu fragen: (Get-Item "$env:ProgramFiles\WinRAR\WinRAR.exe").VersionInfo.FileVersion. Am Einzelplatz zeigt Hilfe > Über WinRAR dasselbe.

Oder die Fläche verkleinern. Der Explorer in Windows 11 liest RAR-, 7z-, tar- und weitere Archive inzwischen nativ, umgesetzt über die Bibliothek libarchive, so beschrieben im Windows-Insider-Blog vom 18.08.2023. Wo WinRAR nur dafür da ist, dass jemand fremde Archive öffnen kann, muss es nicht sein. Deinstalliert ist die einzige Fassung, die zuverlässig keine Lücke mehr hat.

Die Kopie, von der du nichts weißt

CVE-2025-8088 betraf nicht nur WinRAR selbst. ESET nennt ausdrücklich auch Software, die auf der öffentlich verfügbaren Windows-Fassung der UnRAR.dll oder deren Quelltext aufsetzt — ein Programm, das diese Bibliothek mitbringt und seine Abhängigkeiten nie nachzog, bleibt also verwundbar, auf Rechnern, auf denen WinRAR nie installiert war. Eine Inventarliste, die nur fragt, welche Programme installiert sind, findet das nicht. Eine Suche nach dem Dateinamen über die Dateisysteme findet es.

Die ehrliche Einschränkung

Die Fristen in der Tabelle binden US-Bundesbehörden, nicht dich. Brauchbar macht sie das, was hinter ihnen steht: Jemand hat die Ausnutzung beobachtet, und eine Behörde hat eine Zahl von Tagen daran geschrieben. Und vier Einträge heißen nicht, dass WinRAR nur vier Lücken hatte — der Katalog nimmt nichts auf außer dem, was nachweislich in Angriffen benutzt wurde. Version 7.23 schloss laut Änderungsliste des Herstellers einen Heap-Overflow in der Rekonstruktion von RAR5-Wiederherstellungsvolumes und ein Problem mit symbolischen Verknüpfungen; beides steht nicht im KEV-Katalog und ist trotzdem ein Grund zu aktualisieren. Und eine Benachrichtigung ist kein Verteilweg. Sie sagt dir nur, wann du deinen benutzen musst.

Wenn die Software sich nicht meldet

Bei Programmen mit eigenem Updater lautet die Frage, ob der Updater läuft. Bei WinRAR lautet sie, ob überhaupt jemand weiß, dass es eine neue Fassung gibt — die Meldung muss also von außerhalb des Programms kommen. Die Produktseite zu WinRAR zeigt die aktuell erfasste Fassung — 7.23.0, Herstellerdatum 18.08.2026 — und daneben die vier KEV-Einträge aus der Tabelle, jeden mit Aufnahmedatum und CISA-Frist. Wer das Produkt anhakt, bekommt eine Mail, sobald RARLAB eine neue Version veröffentlicht: kostenlos, ohne Konto, Abmeldung mit einem Klick. Das größere Bild steht auf der CVE-Seite.

KEV-Einträge, Aufnahmedaten, Fristen und Ransomware-Kennzeichnung aus dem CISA-Katalog, wie im eigenen Bestand gespiegelt, Stand: 19.08.2026 — vier Einträge, drei mit Ransomware-Vermerk, aktuell erfasste Fassung 7.23.0. Behobene Versionen und Hintergrund von Check Point (2019), Group-IB und Google TAG (2023), dem ZDI-Advisory ZDI-25-409 samt zugehörigem NVD-Eintrag (2025), ESET (2025) sowie der RARLAB-Änderungsliste. Die Aussagen zum fehlenden Updater stammen aus dem PCMag-Interview mit Eugene Roshal vom November 2023. Externe Quellen abgerufen am 19.08.2026.