近期火绒安全团队携手360漏洞研究院发现并复现了微信Windows客户端中的一项重大漏洞，该漏洞可被恶意攻击者用来远程执行代码。
根据调查，该漏洞是通过“目录穿越”和“远程代码执行（RCE）”两个漏洞链的组合触发，攻击者能够在用户毫无察觉的情况下，通过恶意文件执行任何代码，从而取得系统控制权或维持权限，对终端安全造成严重威胁。
技术分析表明，该问题出现在微信客户端自动处理聊天记录文件下载时，没有对文件路径进行严格的校验和过滤。
攻击者可以发送带有恶意文件的消息，当被攻击者点击聊天记录时，这些文件会自动下载并复制到系统启动目录中。
应用目录穿越技术，攻击者能够绕过微信的安全屏障，将恶意代码注入Windows系统的关键目录中，以实现开机自启动的效果。
一旦被攻击者的计算机重启，攻击方便能通过该文件远程执行任意代码，达到完全控制系统或获取持久访问权限的目的。
据悉，此问题影响到3.9及以下版本的微信Windows客户端。建议用户立刻前往微信官网下载并安装最新版本，以消除此漏洞带来的风险。
