בסוף פברואר 2019 דיווחו מומחי Check Point על פגיעות חמורה (CVE-2018-20250) ב-WinRAR והדגימו כיצד היא פועלת. כמעט כל 500 מיליון משתמשי WinRAR היו חשופים לסיכון, משום שהבעיה שזוהתה התקיימה בקוד הארכוב כ-19 שנים.
הפגיעות קשורה לספרייה החיצונית הישנה UNACEV2.DLL: התברר שאפשר ליצור ארכיון ACE מיוחד שבעת חילוצו עשוי להניח קובץ זדוני בתיקייה שרירותית, תוך עקיפת נתיב החילוץ האמיתי (למשל, הוספת תוכנה זדונית להפעלה האוטומטית).
הבעיה נפתרה עם יציאתה של WinRAR 5.70 Beta 1 בינואר השנה. המפתחים החליטו לוותר על התמיכה בפורמט ACE.
עם זאת, ניסיונות התקיפה הראשונים שניצלו את הפגיעות זוהו על ידי מומחים כבר בפברואר. שולחי דואר זבל החלו לצרף להודעותיהם ארכיונים זדוניים, אשר בעת חילוצם מדביקים את מכונת הקורבן בדלת אחורית. התוקפים השתמשו בפיתיונות מגוונים ביותר, החל מתמונות בוטות ותיעוד טכני וכלה בחדשות פוליטיות.
אנליסטים של McAfee פרסמו דוח שלפיו התקיפות נמשכות וקבוצות האקרים רבות מנסות לנצל את הפגיעות. למשל, אחת הקבוצות מחביאה את התוכנה הזדונית שלה תחת השם של האלבום Thank U, Next של אריאנה גרנדה.
החוקרים ספרו יותר מ-100 ניצולים (exploits) ייחודיים לבעיה זו, וציינו שאין בכך שום דבר מפתיע. WinRAR, עם בסיס המשתמשים העצום שלו, הוא יעד מצוין עבור פורצים. לאחר ניתוח בקרת חשבון המשתמש (UAC), המשתמש אינו רואה שום הודעת אזהרה. התוכנה הזדונית פשוט מתחילה לפעול לאחר ההפעלה הבאה של המערכת.
