7-Zip versija 26.02 buvo išleista siekiant pašalinti nuotolinio kodo vykdymo pažeidžiamumą, kuris gali leisti užpuolikams vykdyti kenkėjišką kodą, įtikinant vartotojus atidaryti specialiai sukurtus suglaudintus failus.
Pažeidžiamumą, kurį atskleidė Lunbun tyrinėtojas Landonas Pengas, egzistuoja 7-Zip apdorojant XZ suglaudintus duomenis.
Remiantis „Zero Day Initiative“ patarimu, specialiai sukurti XZ duomenys gali sukelti krūvos buferio perpildymą, todėl užpuolikai gali vykdyti savavališką kodą kaip vartotojas.
Nors kūrėjas nepaskelbė techninės informacijos apie trūkumą, 26.02 šaltinio kodo pakeitimai rodo, kad tai susiję su tuo, kaip 7-Zip seka laisvą vietą išskleidus XZ duomenis.
Pleistras prideda patikras, siekiant užtikrinti, kad dekoderis negalėtų įrašyti daugiau nei likusios laisvos vietos išvesties buferyje, taip padedant išvengti krūvos buferio perpildymo.
Įspėjime teigiama, kad išnaudojimui reikalinga vartotojo sąveika, pvz., apsilankymas kenkėjiškame puslapyje arba kenkėjiško archyvo failo atidarymas.
Nėra automatinio atnaujinimo funkcijos
Kadangi 7-Zip neapima automatinio naujinimo funkcijos, vartotojai negaus saugos pataisos automatiškai. Vietoj to, jie turi ją įdiegti rankiniu būdu, atsisiųsdami naujausią versiją iš oficialios programos svetainės 7-zip.org.
Kadangi „7-Zip“ yra viena iš plačiausiai naudojamų archyvavimo paslaugų sistemoje „Windows“, saugos trūkumai, turintys įtakos jos archyvo funkcijoms, yra patrauklus taikinys grėsmės veikėjams.
Sukčiavimo kampanija arba socialinės inžinerijos ataka gali būti panaudota norint platinti kenkėjišką archyvą, kuris išnaudoja trūkumą ir įdiegia kenkėjiškas programas pažeidžiamose sistemose.
Tai nėra toli, nes archyvo pažeidžiamumas, įskaitant esančius 7-Zip, buvo išnaudotas ankstesnių atakų metu.
2025 m. pradžioje Rusijos įsilaužėliai išnaudojo 7 ZIP pažeidžiamumą, leidžiantį kenkėjiškoms programoms apeiti „Windows Mark of the Web“ (MotW) saugos funkciją.
Vėliau tais pačiais metais Rusijos įsilaužėlių grupė pasinaudojo WinRAR pažeidžiamumu, pažymėtu CVE-2025-8088, per sukčiavimo atakas, kad įdiegtų RomCom kenkėjišką programą.
Šiuo metu nėra pranešimų, kad užpuolikai aktyviai naudojasi šiuo naujai atskleistu 7-Zip pažeidžiamumu.
Tačiau vartotojams patariama kuo greičiau atnaujinti į 26.02 versiją, kad sumažėtų būsimų atakų rizika.
