火绒安全团队与360漏洞研究院联合披露了微信Windows客户端的一项严重安全漏洞，该漏洞允许攻击者执行远程代码。此漏洞通过“目录穿越”与“远程代码执行（RCE）”相结合触发，攻击者能诱导用户点击恶意文件，在用户不知情的情况下将其下载并植入系统启动目录。一旦电脑重启，攻击者便可远程执行任意代码，从而控制用户系统或维持权限，对终端安全构成重大威胁。目前，微信Windows客户端3.9及更早版本均受此影响，官方建议用户立即升级至最新版本以规避风险。

🔍 微信Windows版存在安全漏洞，可被攻击者利用执行远程代码。该漏洞结合了“目录穿越”和“远程代码执行（RCE）”两种技术，使攻击者能够远程控制用户设备。

💻 攻击者通过发送包含恶意文件的聊天消息，诱导用户点击。一旦用户点击，恶意文件会被自动下载并利用目录穿越技术绕过安全限制，植入到Windows系统关键启动目录。

🚀 该漏洞的触发机制是微信在处理聊天记录文件自动下载时，对文件路径的校验不足。恶意代码被复制到系统启动目录后，可在用户电脑重启时自动执行，实现开机自启动。

⚠️ 微信Windows客户端3.9及以下版本均存在此安全隐患。为保障信息安全，强烈建议用户立即从微信官网下载并安装最新版本，以修复此漏洞。

日前，火绒安全团队和360漏洞研究院曝光并成功复现微信Windows客户端漏洞，该漏洞可使攻击者执行远程代码。据了解，该漏洞由“目录穿越”漏洞链与“远程代码执行（RCE）”组合触发，攻击者可利用恶意文件在用户无感知的情况下远程执行任意代码，进而实现系统控制或权限维持，从而对终端安全造成严重影响。

漏洞的技术原理在于微信客户端在处理聊天记录中的文件自动下载时，未对文件路径进行充分的校验和过滤。

攻击者可通过发送包含恶意文件的聊天消息，当被攻击方在微信中点击聊天记录时，恶意文件会自动下载并被复制到系统启动目录。

利用目录穿越技术，攻击者能够绕过微信的安全限制，将恶意代码植入到Windows系统的关键目录中，实现开机自启动。

当被攻击者的电脑进行重启后，攻击方即可通过该文件对受害环境执行任意远程代码，进而实现系统控制或权限维持。

据悉，微信Windows客户端3.9及以下版本均存在此问题，建议及时从微信官网下载最新版本进行安装。