今すぐ更新を：7-Zip、悪意のあるアーカイブを介して悪用可能なRCEの脆弱性を修正

6月25日、7-Zip バージョン26.02がリリースされました。これは、攻撃者がユーザーに細工された圧縮ファイルを開かせることで悪意のあるコードを実行させてしまう可能性のある、リモートコード実行の脆弱性を修正するためのものです。

Lunbunの研究者であるLandon Peng氏によって公開されたこの脆弱性は、7-ZipによるXZ圧縮データの処理に存在します。

今週公開されたZero Day Initiativeのアドバイザリによると、特別に細工されたXZデータはヒープベースのバッファオーバーフローを引き起こす可能性があり、攻撃者がユーザー権限で任意のコードを実行できる恐れがあります。

開発者はこの脆弱性に関する技術的な詳細を公開していないが、26.02版のソースコードの変更内容から、7-ZipがXZデータの解凍時に利用可能な領域を追跡する仕組みに関連していることが示唆される。

このパッチでは、デコーダが出力バッファの残りの空き領域を超えて書き込みを行えないようにするチェックが追加されており、ヒープベースのバッファオーバーフローの防止に寄与しています。

このアドバイザリによると、この脆弱性を悪用するには、悪意のあるページへのアクセスや悪意のあるアーカイブファイルの開封など、ユーザーの操作が必要となります。

自動更新機能なし

7-Zipには自動更新機能が搭載されていないため、ユーザーはセキュリティ修正プログラムを自動的に受け取ることはありません。代わりに、プログラムの公式サイトである7-zip.orgから最新バージョンをダウンロードし、手動でインストールする必要があります。

7-ZipはWindows上で最も広く使用されているアーカイブユーティリティの一つであるため、そのアーカイブ機能に影響を与えるセキュリティ上の欠陥は、脅威アクターにとって魅力的な標的となります。

フィッシングキャンペーンやソーシャルエンジニアリング攻撃を利用して、この脆弱性を悪用した悪意のあるアーカイブを配布し、脆弱なシステムにマルウェアをインストールさせることが考えられます。

7-Zipを含むアーカイブの脆弱性が過去の攻撃で悪用されてきたことを考えると、これは決してあり得ない話ではありません。

2025年初頭、マルウェアが Windows の「Mark of the Web (MotW)」セキュリティ機能を迂回することを可能にする 7-Zip の脆弱性が、ロシアのハッカーによってゼロデイ攻撃として悪用されました。

同年後半には、ロシアのハッカーグループが、CVE-2025-8088として追跡されているWinRARの脆弱性をフィッシング攻撃を通じて悪用し、RomComマルウェアをインストールしました。

現時点では、攻撃者がこの新たに公開された7-Zipの脆弱性を積極的に悪用しているという報告はありません。

ただし、将来の攻撃リスクを低減するため、ユーザーはできるだけ早くバージョン26.02に更新することを推奨します。