7-Zip曝出高危安然马脚 或波及数亿台设备

此次新披露的安然问题被编号为 GHSL-2026-140，并挂号为 CVE-2026-48095。马脚与 7-Zip 处理基于 NTFS 的卷镜像文件方法有关，属于典范的堆内存缓冲区溢出，即在处理动态分派内存时出现越界写入，导致内存数据被破坏，从而为进击者履行随便率性代码供给前提。

威逼情景相对简单：进击者在紧缩包中嵌入恶意构造的 NTFS 镜像文件，当用户在受影响版本的 7-Zip 中打开该紧缩包时，法度榜样在计算缓冲区大年夜小时出现异常，缺点分派了过小的内存空间，进而覆盖相邻堆区数据，触发不决义行动。安然公司 SOC Prime 指出，在不合平台和内存状况下，这一马脚既可能被用来长途履行代码，也可能导致应用崩溃或形成拒绝办事进击。

CVE-2026-48095 马脚于 4 月被发明并暗里传递给 7-Zip 开辟团队。开辟者随后宣布了 26.01 版本，对相干问题进行了修复。几天前，官方安然通知布告正式公开，同时还出现了可应用该马脚的 Python 概念验证脚本（PoC），这意味着进击应用门槛进一步降低，增长了马脚被快速兵器化的风险。

安然研究人员强调，7-Zip 的用户基数和生态扩散效应是该马脚风险“放大年夜器”。作为一款免费开源的紧缩软件，7-Zip 多年来已累计被下载数亿次，除桌面图形界面版本外，其敕令行对象和底层库也被广泛嵌入到各类体系和应用中，用于支撑多种紧缩格局。这意味着，无论是在 Windows 照样 Linux 情况中，运行旧版本 7-Zip 的大年夜量体系都有可能成为潜在进击目标，一旦被应用，后果难以预估。

今朝来看，独一有效的缓解办法是尽快进级至 7-Zip 26.01 或更新版本。专家建议，终端用户应主动检查本机 7-Zip 版本号，及时从官方渠道下载并安装最新版本；企业和机构治理员则须要尽快梳理内部体系、脚本和办事中应用的 7-Zip 组件，同一安排更新，并评估相干资产可能面对的进击面。鉴于公开 PoC 已经出现，留给未打补丁体系的“缓冲期”可能相当有限。