Arhivatorul de fișiere 7-Zip este o alternativă open-source populară la programe plătite precum WinZip și WinRAR. Folosit pe scară largă atât de organizații, cât și de indivizi, acesta a devenit, de asemenea, o țintă frecventă pentru hackeri și infractori cibernetici.
Două vulnerabilități de securitate recent descoperite ar putea transforma 7-Zip într-un risc serios pentru securitatea datelor și a sistemului. Aceste erori au fost cunoscute intern de luni de zile, iar dezvoltatorul 7-Zip, Igor Pavlov, a lansat un patch în această vară. Cu toate acestea, utilizatorii care se bazează pe versiuni mai vechi sunt sfătuiți să facă actualizarea cât mai curând posibil. Deoarece 7-Zip nu dispune de un mecanism de actualizare automată, acest lucru devine un risc mai mare pentru securitate.
Potrivit inițiativei Zero Day de la Trend Micro, cele două vulnerabilități sunt urmărite ca CVE-2025-11001 și CVE-2025-11002. Ambele descriu același tip de vulnerabilitate: o eroare de execuție de cod la distanță prin traversarea directorului la analiza fișierelor. Vulnerabilitățile ar putea permite atacatorilor să execute cod malițios pe un sistem local, avertizează firma.
Exploatarea necesită interacțiunea utilizatorului, dar riscul poate varia în funcție de modul în care este implementată exploatarea. În esență, problema provine din gestionarea incorectă de către 7-Zip a legăturilor simbolice din arhivele ZIP. Un fișier ZIP special conceput ar putea determina arhivatorul să scrie fișiere în afara folderului de extragere intenționat, compromițând astfel sistemul.
Un atacator ar putea exploata aceste vulnerabilități prin păcălirea utilizatorilor să descarce un fișier ZIP malițios, să încorporeze malware în arhivă și să execute sarcina atunci când arhiva este deschisă sau extrasă. Codul malițios ar rula cu aceleași privilegii ca și contul utilizatorului, reprezentând o amenințare semnificativă pe sistemele Windows.
Trend Micro a dezvăluit public vulnerabilitățile abia recent, dar le-a raportat echipei 7-Zip încă din luna mai. Pavlov a rezolvat problemele în 7-Zip 25.00, lansat pe 5 iulie. Versiunea stabilă actuală, 25.01, include și aceste corecții.
Deși sunt cunoscute de luni de zile, CVE-2025-11001 și CVE-2025-11002 ar putea afecta încă o parte semnificativă a bazei de utilizatori 7-Zip. Critic, programul nu are o funcție de actualizare automată și rămâne popular printre utilizatorii cu sisteme mai vechi, având compatibilitate cu Windows XP și chiar Windows 2000.
Pentru utilizatorii și organizațiile preocupate de securitate, instalarea celei mai recente versiuni de 7-Zip este acum esențială. De asemenea, este foarte recomandat să se evite arhivele ZIP din surse necunoscute sau neîncredere.
