开源压缩工具 7-Zip 现严重漏洞，可被利用执行恶意代码
根据简鹿办公了解，目前广泛使用的压缩解压工具 7-Zip 再度出现高危安全漏洞。这款开源文件压缩程序存在安全缺陷，攻击者可诱导用户打开特制压缩包，借此执行恶意代码。普通用户与系统管理员请尽快升级至软件最新版本。
近期曝光的这一安全漏洞，会让 7-Zip 沦为网络不法分子传播恶意软件、入侵大量电脑的工具。这款免费压缩软件已多次曝出严重漏洞，此次问题出在其对NTFS 卷镜像文件的处理逻辑上。用户只要打开恶意特制的压缩包，漏洞就会被触发。
该漏洞编号为 GHSL-2026-140，对应的通用漏洞编号是CVE-2026-48095，于今年 4 月被发现。漏洞根源为堆缓冲区溢出，这是一种内存损坏类漏洞，攻击者可通过篡改动态内存中的数据实现利用。
据安全厂商 SOC Prime 介绍，当压缩包内包含恶意构造的 NTFS 镜像文件时，CVE-2026-48095 便会被触发。旧版 7-Zip 打开此类压缩包后，缓冲区大小计算逻辑会出现异常；程序在处理文件时分配的内存空间不足，进而可能篡改相邻的堆内存数据。
该漏洞在 4 月被发现后，研究人员已私下向 7-Zip 开发团队提交报告。官方随后推出26.01 版本，修复了此安全问题。就在近日，官方发布了该漏洞的安全公告，同时还流出了可成功利用此漏洞的 Python 概念验证脚本。
安全研究人员提醒，受运行平台和系统可用内存影响，CVE-2026-48095 结合概念验证脚本，可能造成远程代码执行，也可能仅导致程序崩溃或服务中断。目前唯一的修复方式，是安装约 30 天前发布的 7-Zip 最新版本。
由于 7-Zip 受众极广，CVE-2026-48095 的潜在威胁不容小觑。这款开源压缩工具累计下载量达数亿次，大量设备还在使用其命令行程序或相关组件来兼容各类压缩格式。最坏情况下，所有仍运行旧版 7-Zip 的 Windows、Linux 设备，都可能成为攻击目标，进而引发各类安全事故。
