7-Zip 26.02 corregge una vulnerabilità di esecuzione di codice attivata da archivi dannosi

Gli utenti di 7-Zip dovrebbero installare la versione 26.02, che risolve una vulnerabilità di esecuzione di codice da remoto nella popolare utilità di archiviazione per Windows. La falla potrebbe consentire a un attaccante di eseguire codice arbitrario dopo che la vittima apre un archivio appositamente predisposto o visita una pagina progettata per fornire dati compressi con XZ dannosi.

Il problema è stato segnalato dal ricercatore di Lunbun Landon Peng e descritto in un avviso della Zero Day Initiative. La vulnerabilità riguarda la gestione dei dati XZ da parte di 7-Zip ed è dovuta a un overflow del buffer nell'heap. Sebbene il progetto non abbia pubblicato una documentazione tecnica dettagliata, le modifiche al nuovo codice sorgente indicano che la correzione aggiunge misure di sicurezza relative alla quantità di spazio disponibile durante la decompressione. Questi controlli hanno lo scopo di impedire al decoder di scrivere oltre i limiti del buffer di output.

È necessaria l'installazione manuale

7-Zip non offre un meccanismo di aggiornamento automatico, quindi le installazioni esistenti non riceveranno la patch autonomamente. Gli utenti dovrebbero scaricare e installare la versione 26.02 dal sito web ufficiale del progetto, 7-zip.org. Le organizzazioni possono inoltre utilizzare, ove appropriato, gli strumenti approvati per la gestione del software, verificando al contempo che i pacchetti provengano da fonti affidabili.

Lo sfruttamento richiede l'interazione dell'utente, ad esempio l'apertura di un archivio dannoso. Questo requisito non elimina il rischio: gli attaccanti utilizzano comunemente messaggi di phishing, siti web compromessi e tecniche di ingegneria sociale per convincere le vittime a gestire file trappola.

Le vulnerabilità nell'elaborazione degli archivi sono già state utilizzate in attacchi reali. Una falla di 7-Zip sfruttata nel 2025 consentiva al malware di eludere le protezioni Mark of the Web di Windows, mentre una vulnerabilità distinta di WinRAR è stata successivamente utilizzata nelle campagne di phishing per distribuire il malware RomCom.

Al momento non risultano segnalazioni secondo cui questa vulnerabilità di 7-Zip appena corretta venga sfruttata attivamente. Tuttavia, poiché l'applicazione è ampiamente diffusa e non si aggiorna automaticamente, si raccomanda di applicare tempestivamente la patch per ridurre l'esposizione ad attacchi futuri.