7-Zip lanzó la versión 26.02 para corregir una vulnerabilidad crítica de ejecución remota de código (RCE) que podía ser explotada mediante archivos comprimidos maliciosos. Esta falla afecta el procesamiento de datos comprimidos en formato XZ y podría permitir a atacantes ejecutar código arbitrario con los permisos del usuario.
Por qué importa: 7-Zip es una de las utilidades de compresión más usadas en Windows, por lo que esta vulnerabilidad representa un riesgo significativo para la seguridad de los usuarios que no actualicen.
Lo esencial
La vulnerabilidad se encuentra en la descompresión de datos XZ y provoca un desbordamiento de búfer en el heap.
La explotación requiere que el usuario abra un archivo comprimido malicioso o visite una página web con contenido especialmente diseñado.
7-Zip no cuenta con actualización automática, por lo que la instalación del parche debe hacerse manualmente desde su sitio oficial.
Detalles técnicos de la vulnerabilidad
El investigador Landon Peng, de Lunbun, reportó que la falla se origina en cómo 7-Zip maneja el espacio disponible durante la descompresión de archivos XZ. Un desbordamiento de búfer basado en heap puede permitir que un atacante sobrescriba memoria y ejecute código arbitrario.
El parche en la versión 26.02 introduce verificaciones adicionales para evitar que el decodificador escriba más allá del espacio disponible en el búfer de salida, mitigando así el riesgo de desbordamiento.
Impacto y vectores de ataque
Para explotar esta vulnerabilidad, un atacante debe convencer al usuario de abrir un archivo comprimido malicioso o acceder a un sitio web que contenga dicho archivo. Esto abre la puerta a campañas de phishing o ataques de ingeniería social que distribuyan malware mediante archivos 7-Zip manipulados.
Imagen de referencia: BleepingComputer.
Históricamente, vulnerabilidades en utilidades de compresión como 7-Zip y WinRAR han sido aprovechadas en ataques reales, incluyendo campañas de malware rusas que explotaron fallas similares en 2025.
Recomendaciones para usuarios y organizaciones
Dado que 7-Zip no actualiza automáticamente, es fundamental que los usuarios descarguen e instalen manualmente la versión 26.02 desde el sitio oficial 7-zip.org. Esto reduce el riesgo de explotación futura y protege contra posibles campañas maliciosas que aprovechen esta vulnerabilidad.
Las organizaciones deben incluir esta actualización en sus procesos de gestión de parches y monitorear posibles intentos de distribución de archivos comprimidos maliciosos.
Preguntas frecuentes sobre la vulnerabilidad en 7-Zip
¿Qué versiones de 7-Zip están afectadas?
La vulnerabilidad afecta versiones anteriores a la 26.02, por lo que se recomienda actualizar a esta versión o superior.
¿Se han detectado ataques activos que exploten esta falla?
Hasta el momento no hay reportes de explotación activa, pero la actualización es urgente para prevenir futuros ataques.
