Vážná chyba v 7-Zipu: podvržený archiv může spustit škodlivý kód
Zranitelnost CVE-2026-48095 v oblíbeném archivátoru 7-Zip dostala hodnocení 8,8 a ukázka útoku je už veřejná. Oprava přinesla verze 26.01.
Oblíbený archivátor 7-Zip má vážnou bezpečnostní chybu, kterou stojí za to opravit hned. Zranitelnost s označením CVE-2026-48095 dostala hodnocení CVSS 8,8, tedy vysokou závažnost. Pomocí speciálně upraveného souboru může vést až ke spuštění cizího kódu.
V čem je problém
Jde o přetečení vyrovnávací paměti na haldě. Při zpracování určitých dat ve struktuře NTFS 7-Zip špatně spočítá, kolik paměti potřebuje. Vyhradí proto příliš malý blok a pak do něj zapíše velké množství dat, která ovládá útočník. Podle prostředí to může skončit pádem programu, ale i spuštěním kódu s oprávněními uživatele nebo služby, která soubor zpracovává.
Nebezpečné je, že 7-Zip pozná typ souboru podle obsahu, ne podle přípony. Škodlivá data tak mohou být v souboru, který vypadá jako běžný archiv ZIP nebo 7z, a k útoku stačí ho otevřít. Výzkumník zveřejnil 22. května ukázkový kód (proof of concept) a podrobnou analýzu chyby vydala GitHub Security Lab.
Koho se to týká a co dělat
- Zranitelné jsou verze 26.00 a starší.
- Opravu přinesla verze 26.01 z 27. dubna 2026.
- 7-Zip se sám neaktualizuje, takže je potřeba nainstalovat novou verzi ručně a zkontrolovat i ostatní počítače a servery.
- Ohrožené jsou hlavně systémy, které archivy zpracovávají automaticky, třeba souborové servery nebo aplikace rozbalující nahrané soubory.
7-Zip patří k nejrozšířenějším programům na rozbalování příloh a stažených souborů, takže se aktualizace týká velké části uživatelů Windows.
Zdroj: Field Effect
Související články
Windows trápí zero-day chyba LegacyHive, neoficiální záplata už existuje
Bezpečnostní výzkumník zveřejnil chybu ve Windows, přes kterou si běžný uživatel může zvýšit oprávnění. Microsoft ji zatím prověřuje, dočasnou opravu nabízí služba 0patch.
Nová zero-day chyba BigDiskBuster dokáže zablokovat aktualizace Windows Defenderu
Bývalý zaměstnanec Microsoftu zveřejnil další exploit proti Defenderu. Tentokrát brání antiviru stahovat nové signatury i aktualizace platformy.
Komentáře
Načítám komentáře…