浙江
廣泛使用的開源壓縮工具 7-Zip 再次被曝存在嚴重安全漏洞，攻擊者只需誘導用戶打開特制壓縮包，就可能在受害系統(tǒng)上執(zhí)行惡意代碼。研究人員和安全機構警告，受影響范圍或覆蓋全球數以億計的終端設備，普通用戶和系統(tǒng)管理員應盡快升級到最新版本以降低風險。
此次新披露的安全問題被編號為 GHSL-2026-140，并登記為 CVE-2026-48095。漏洞與 7-Zip 處理基于 NTFS 的卷鏡像文件方式有關，屬于典型的堆內存緩沖區(qū)溢出，即在處理動態(tài)分配內存時出現越界寫入，導致內存數據被破壞，從而為攻擊者執(zhí)行任意代碼提供條件。
威脅情景相對簡單：攻擊者在壓縮包中嵌入惡意構造的 NTFS 鏡像文件，當用戶在受影響版本的 7-Zip 中打開該壓縮包時，程序在計算緩沖區(qū)大小時出現異常，錯誤分配了過小的內存空間，進而覆蓋相鄰堆區(qū)數據，觸發(fā)未定義行為。安全公司 SOC Prime 指出，在不同平臺和內存狀態(tài)下，這一漏洞既可能被用來遠程執(zhí)行代碼，也可能導致應用崩潰或形成拒絕服務攻擊。
CVE-2026-48095 漏洞于 4 月被發(fā)現并私下通報給 7-Zip 開發(fā)團隊。開發(fā)者隨后發(fā)布了 26.01 版本，對相關問題進行了修復。幾天前，官方安全公告正式公開，同時還出現了可利用該漏洞的 Python 概念驗證腳本（PoC），這意味著攻擊利用門檻進一步降低，增加了漏洞被快速武器化的風險。
安全研究人員強調，7-Zip 的用戶基數和生態(tài)擴散效應是該漏洞風險“放大器”。作為一款免費開源的壓縮軟件，7-Zip 多年來已累計被下載數億次，除桌面圖形界面版本外，其命令行工具和底層庫也被廣泛嵌入到各類系統(tǒng)和應用中，用于支持多種壓縮格式。這意味著，無論是在 Windows 還是 Linux 環(huán)境中，運行舊版本 7-Zip 的大量系統(tǒng)都有可能成為潛在攻擊目標，一旦被利用，后果難以預估。
目前來看，唯一有效的緩解措施是盡快升級至 7-Zip 26.01 或更新版本。專家建議，終端用戶應主動檢查本機 7-Zip 版本號，及時從官方渠道下載并安裝最新版本；企業(yè)和機構管理員則需要盡快梳理內部系統(tǒng)、腳本和服務中使用的 7-Zip 組件，統(tǒng)一部署更新，并評估相關資產可能面臨的攻擊面。鑒于公開 PoC 已經出現，留給未打補丁系統(tǒng)的“緩沖期”可能相當有限。
特別聲明：以上內容(如有圖片或視頻亦包括在內)為自媒體平臺“網易號”用戶上傳并發(fā)布，本平臺僅提供信息存儲服務。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
