7-Zip曝出高危安全漏洞 或波及数亿台设备
广泛使用的开源压缩工具 7-Zip 再次被曝存在严重安全漏洞，攻击者只需诱导用户打开特制压缩包，就可能在受害系统上执行恶意代码。研究人员和安全机构警告，受影响范围或覆盖全球数以亿计的终端设备，普通用户和系统管理员应尽快升级到最新版本以降低风险。
此次新披露的安全问题被编号为 GHSL-2026-140，并登记为 CVE-2026-48095。漏洞与 7-Zip 处理基于 NTFS 的卷镜像文件方式有关，属于典型的堆内存缓冲区溢出，即在处理动态分配内存时出现越界写入，导致内存数据被破坏，从而为攻击者执行任意代码提供条件。
威胁情景相对简单：攻击者在压缩包中嵌入恶意构造的 NTFS 镜像文件，当用户在受影响版本的 7-Zip 中打开该压缩包时，程序在计算缓冲区大小时出现异常，错误分配了过小的内存空间，进而覆盖相邻堆区数据，触发未定义行为。安全公司 SOC Prime 指出，在不同平台和内存状态下，这一漏洞既可能被用来远程执行代码，也可能导致应用崩溃或形成拒绝服务攻击。
CVE-2026-48095 漏洞于 4 月被发现并私下通报给 7-Zip 开发团队。开发者随后发布了 26.01 版本，对相关问题进行了修复。几天前，官方安全公告正式公开，同时还出现了可利用该漏洞的 Python 概念验证脚本（PoC），这意味着攻击利用门槛进一步降低，增加了漏洞被快速武器化的风险。
安全研究人员强调，7-Zip 的用户基数和生态扩散效应是该漏洞风险“放大器”。作为一款免费开源的压缩软件，7-Zip 多年来已累计被下载数亿次，除桌面图形界面版本外，其命令行工具和底层库也被广泛嵌入到各类系统和应用中，用于支持多种压缩格式。这意味着，无论是在 Windows 还是 Linux 环境中，运行旧版本 7-Zip 的大量系统都有可能成为潜在攻击目标，一旦被利用，后果难以预估。
目前来看，唯一有效的缓解措施是尽快升级至 7-Zip 26.01 或更新版本。专家建议，终端用户应主动检查本机 7-Zip 版本号，及时从官方渠道下载并安装最新版本；企业和机构管理员则需要尽快梳理内部系统、脚本和服务中使用的 7-Zip 组件，统一部署更新，并评估相关资产可能面临的攻击面。鉴于公开 PoC 已经出现，留给未打补丁系统的“缓冲期”可能相当有限。
