W programie 7-Zip, który ma na świecie setki milionów użytkowników, wykryto krytyczną lukę, która może pozwolić hakerom przejąć kontrolę nad komputerem po otwarciu spreparowanego archiwum. Eksperci ostrzegają, że atak nie wymaga żadnych dodatkowych działań – wystarczy kliknąć w załącznik.
Co się stało? Nowa luka w 7-Zip
Specjaliści z firmy Lunbun odkryli podatność w sposobie, w jaki 7-Zip przetwarza skompresowane dane w formacie XZ. Błąd polega na przepełnieniu bufora sterty – czyli sytuacji, w której program zapisuje więcej danych, niż może pomieścić wydzielony obszar pamięci. Dzięki temu atakujący może wstrzyknąć własny kod i wykonać go na komputerze ofiary.
Luka ma oznaczenie CVE, a jej powaga została potwierdzona przez organizację Zero Day Initiative. Producent – Igor Pavlov – wydał już poprawkę w wersji 26.02. Niestety, jak podkreślają eksperci, 7-Zip nie ma wbudowanej funkcji automatycznej aktualizacji. Oznacza to, że to użytkownik musi ręcznie pobrać i zainstalować nową wersję.
Kto jest zagrożony? Praktycznie każdy użytkownik 7-Zip
7-Zip to jedno z najpopularniejszych narzędzi do kompresji plików na Windows. Jest darmowe, ma prosty interfejs i obsługuje praktycznie wszystkie formaty archiwów. Korzystają z niego zarówno osoby prywatne, jak i firmy. To sprawia, że luka stanowi atrakcyjny cel dla cyberprzestępców – mogą oni rozpowszechniać złośliwe archiwa w kampaniach phishingowych, podszywając się na przykład pod faktury, dokumenty czy zdjęcia.
W przeszłości podobne podatności w programach archiwizujących były już wykorzystywane w rzeczywistych atakach. Jak przypomina raport, w 2025 roku rosyjscy hakerzy wykorzystali inną lukę w 7-Zip do obchodzenia zabezpieczenia Mark of the Web. W tym samym roku grupa RomCom użyła podatności w WinRAR-ze, by rozprzestrzeniać złośliwe oprogramowanie.
Jak się zabezpieczyć? Ręczna aktualizacja to podstawa
Jedynym skutecznym sposobem ochrony jest natychmiastowa aktualizacja 7-Zip do wersji 26.02. Nie ma żadnego tymczasowego obejścia – jeśli nie zaktualizujesz programu, twoje archiwum może być wektorem ataku. Instrukcja jest prosta: wejdź na oficjalną stronę 7-zip.org, pobierz instalator odpowiedni dla twojego systemu (32-bitowy lub 64-bitowy) i uruchom go. Stara wersja zostanie zastąpiona nową.
Warto też na przyszłość włączyć w systemie Windows opcję wyświetlania rozszerzeń plików – wtedy łatwiej zauważysz, czy załącznik to rzeczywiście archiwum, czy może plik wykonywalny. Pamiętaj też, by nie otwierać załączników od nieznanych nadawców, nawet jeśli wyglądają wiarygodnie.
Dlaczego to ważne? Brak automatycznej aktualizacji to ryzyko
7-Zip to program, który od lat cieszy się zaufaniem użytkowników. Jego twórca nie dodał jednak mechanizmu samoczynnego pobierania poprawek – w przeciwieństwie do wielu innych aplikacji. To oznacza, że miliony ludzi na całym świecie wciąż używają wersji, która jest podatna na atak. Jeśli nie zaktualizujesz teraz, twoje dane – w tym hasła, dokumenty, zdjęcia – mogą trafić w ręce przestępców.
Eksperci z Zero Day Initiative podkreślają, że luka może być wykorzystana w kampaniach phishingowych na szeroką skalę. Wystarczy, że ofiara pobierze archiwum z podejrzanego e-maila lub strony WWW i kliknie w nie dwukrotnie. Wtedy kod atakującego uruchomi się automatycznie.
Zalecamy każdemu, kto korzysta z 7-Zip – niezależnie od tego, czy jest to komputer domowy, czy służbowy – sprawdzenie wersji programu i niezwłoczną aktualizację. Nie odkładaj tego na później. Lepiej poświęcić minutę na aktualizację, niż ryzykować utratę danych lub pieniędzy.
