Wystarczy jeden niepozorny plik, aby stracić kontrolę nad swoim komputerem. Nowa luka w popularnym programie do kompresji 7-Zip pozwala atakującym przejąć urządzenie ofiary przez otwarcie spreparowanego archiwum. Sprawdź, co robić, by się ochronić.
Co się stało i dlaczego to poważne
Eksperci z Trend Micro Zero Day Initiative ujawnili podatność w programie 7-Zip, którą oznaczono jako CVE-2026-14266. Według opublikowanego we wtorek 15 lipca 2026 roku ostrzeżenia, luka umożliwia wykonanie dowolnego kodu na zainfekowanym komputerze. Problem dotyczy sposobu, w jaki 7-Zip radzi sobie z danymi skompresowanymi w formacie XZ – popularnym formacie używanym w paczkach oprogramowania, kopiach zapasowych i innych archiwach.
Jak tłumaczą badacze, spreparowane dane XZ mogą sprawić, że program zapisze informacje poza wyznaczonym obszarem pamięci. To tak zwane przepełnienie bufora sterty. W praktyce oznacza to, że osoba atakująca może przejąć kontrolę nad aplikacją i uruchomić na komputerze ofiary złośliwy kod.
Kto jest celem i jak wygląda atak
Na szczęście sama podatność nie wystarczy, by automatycznie paść ofiarą. Aby atak się powiódł, użytkownik musi dać się nabrać i otworzyć zainfekowany plik. Cyberprzestępcy mogą podszyć się pod znaną firmę, wysłać fałszywy e-mail z załącznikiem mającym wyglądać jak oferta, faktura lub aktualizacja. Mogą też umieścić złośliwe archiwum na stronie internetowej i nakłonić ofiarę do jego pobrania i rozpakowania.
Luka otrzymała ocenę 7,0 w dziesięciostopniowej skali CVSS, co oznacza zagrozenie o wysokiej wadze. Co więcej, do wykorzystania podatności nie są potrzebne żadne hasła ani uprawnienia. Każdy, kto otworzy szkodliwy plik, bez względu na typ konta w systemie, może stracić dane, zainstalować złośliwe oprogramowanie lub oddać przestępcom dostęp do swojego komputera. Atak może mieć poważne konsekwencje: wyciek haseł do banku, kradzież dokumentów, szyfrowanie plików i żądanie okupu.
Jak się chronić – proste i skuteczne kroki
Najważniejsze – zaktualizuj program 7-Zip do wersji 26.0 lub nowszej. To właśnie w niej producent zamknął lukę. Jeśli nie pamiętasz, jaką masz wersję, otwórz program i wejdź w menu „Pomoc” → „Informacje”. W razie wątpliwości po prostu pobierz najnowszą wersję z oficjalnej strony producenta.
Do czasu aktualizacji eksperci radzą zachować szczególną ostrożność:
- Nie otwieraj archiwów od nieznanych nadawców, nawet jeśli wydają się wiarygodne.
- Sprawdzaj źródło każdego pliku – jeśli spodziewasz się przesyłki od kuriera, a w mailu jest załącznik ZIP, to prawdopodobnie oszustwo.
- Uważaj na wiadomości z prośbą o natychmiastowe otwarcie pliku: „faktura z opóźnieniem”, „dopłata do zamówienia”, „ważny dokument z urzędu” – to typowe haczyki.
Warto też pamiętać, że choć obecnie nie ma potwierdzeń aktywnego wykorzystywania luki w masowych atakach, techniczne szczegóły podatności zostały opublikowane. Jak pokazuje historia, to tylko kwestia czasu, gdy przestępcy dostosują swoje narzędzia.
Co dalej – odpowiedzialność za własne bezpieczeństwo
Luka w 7-Zip to kolejne przypomnienie, jak ważne jest regularne aktualizowanie oprogramowania. Wiele osób zapomina o małych, ale powszechnie używanych programach, a to one często stają się celem ataków. Podobnie jak aktualizacje systemu Windows czy przeglądarki, również narzędzia archiwizujące wymagają uwagi.
Jeśli jesteś administratorem w firmie, sprawdź, jakie wersje 7-Zip są używane na komputerach pracowników. Jeśli jesteś zwykłym użytkownikiem, wystarczy kilka minut, by sprawdzić aktualizacje i zabezpieczyć swoje dane. W dzisiejszych czasach ostrożność i szybka reakcja to najlepsza polisa ubezpieczeniowa dla twojego komputera.
