近期，微信Windows客户端的安全问题引起了广泛关注。据安全领域的两大权威机构——火绒安全团队与360漏洞研究院相继披露，微信Windows客户端的3.9及以下版本中存在一项严重漏洞，该漏洞允许攻击者远程执行代码，对用户的系统安全构成重大威胁。
火绒安全团队深入分析了这一漏洞，指出它是由“目录穿越”与“远程代码执行（RCE）”的组合攻击方式触发。在这种攻击模式下，攻击者无需用户直接操作，就能在用户不知情的情况下，通过微信自动下载并执行恶意文件，进而获取系统控制权或维持权限，对用户的终端设备安全造成深远影响。
具体而言，一旦该漏洞被利用，攻击者只需向受害者发送含有恶意文件的聊天消息。当受害者在微信中查看这些聊天记录时，恶意文件便会悄无声息地自动下载，并被复制到系统的启动目录中，实现开机自动运行。这样一来，即使受害者重启电脑，恶意代码也能持续发挥作用。
360漏洞研究院则进一步阐释了漏洞的技术细节。他们指出，微信客户端在处理聊天记录中的文件自动下载功能时，未能对文件路径进行严格的校验和过滤，这为攻击者提供了可乘之机。通过精心构造的恶意文件，攻击者可以轻松绕过微信的安全防护措施，将恶意代码植入到Windows系统的关键位置，确保其在系统启动时自动激活。
更为严重的是，利用目录穿越技术，攻击者不仅能够绕过微信的安全机制，还能将恶意代码深植于系统深处，使其难以被检测和清除。一旦攻击成功，攻击者便能通过恶意文件对受害者的电脑执行任意远程代码，实现对系统的全面控制或持续权限维持，给用户的隐私和数据安全带来巨大风险。
