Две недавно обнаруженные уязвимости могут сделать архиватор 7-Zip угрозой для безопасности данных. Компания Trend Micro только недавно публично раскрыла эти уязвимости, но сообщила о них команде 7-Zip в мае. Автор закрыл уязвимости в версии 7-Zip 25.00 от 5 июля. Последняя стабильная сборка имеет номер 25.01.

Согласно инициативе Zero Day Initiative компании Trend Micro, эти две уязвимости обозначены как CVE-2025-11001 и CVE-2025-11002. Обе уязвимости относятся к одному типу: это уязвимость удалённого выполнения кода, связанная с обходом каталога при анализе файлов. Эксперты предупреждают, что уязвимости могут позволить злоумышленникам выполнить вредоносный код в локальной системе.

Эксплуатация требует взаимодействия с пользователем. Проблема связана с тем, что 7-Zip некорректно обрабатывает символические ссылки в ZIP-архивах. Специально созданный ZIP-файл может заставить архиватор записать файлы за пределами предполагаемой папки извлечения, что может скомпрометировать систему.

Злоумышленник может обманом заставить пользователей загрузить вредоносный ZIP-файл, внедрить вредоносное ПО в архив и выполнить полезную нагрузку при открытии архива. Вредоносный код будет работать с теми же привилегиями, которые имеет учётная запись пользователя.

Риск повышает тот факт, что программа не имеет функции автоматического обновления и является популярной среди пользователей старых систем, учитывая её совместимость с Windows XP и даже Windows 2000. Применяющим старые версии пользователям рекомендуется обновиться как можно скорее.