Falha crítica no 7-Zip permite execução remota de código; atualização para a versão 26.02 corrige o problema

Os desenvolvedores do 7-Zip lançaram a versão 26.02 do popular compactador de arquivos para corrigir uma vulnerabilidade de execução remota de código (RCE) que pode ser explorada por meio de arquivos compactados especialmente manipulados. A falha pode permitir que invasores executem código arbitrário na máquina da vítima caso ela seja induzida a abrir um arquivo malicioso.

A vulnerabilidade foi identificada pelo pesquisador Landon Peng, da Lunbun, e afeta o processamento de dados compactados no formato XZ. Segundo um comunicado da Zero Day Initiative (ZDI), dados XZ cuidadosamente elaborados podem provocar um heap-based buffer overflow, um tipo de corrupção de memória que pode resultar na execução de código com os mesmos privilégios do usuário que abriu o arquivo.

Embora o desenvolvedor do 7-Zip não tenha divulgado detalhes técnicos completos sobre a vulnerabilidade, alterações no código-fonte da versão 26.02 indicam que o problema estava relacionado ao controle do espaço disponível durante o processo de descompressão de arquivos XZ.

A atualização implementa verificações adicionais para impedir que o mecanismo de descompressão grave dados além do espaço restante disponível no buffer de saída, mitigando assim a possibilidade de exploração por meio de um estouro de buffer na heap.

De acordo com a ZDI, a exploração da vulnerabilidade exige interação do usuário. Na prática, isso significa que a vítima precisa ser convencida a abrir um arquivo compactado malicioso ou acessar uma página capaz de fornecer esse conteúdo. Embora não seja uma exploração automática, esse tipo de cenário é frequentemente utilizado em campanhas de phishing e engenharia social.

Diferentemente de muitos aplicativos modernos, o 7-Zip não possui um mecanismo de atualização automática. Por esse motivo, os usuários não receberão a correção de segurança automaticamente e precisarão instalar manualmente a versão 26.02, disponível no site oficial do projeto.

A ausência de atualização automática amplia a janela de exposição, principalmente porque o 7-Zip está entre os compactadores de arquivos mais utilizados em sistemas Windows, tornando-se um alvo frequente para grupos de cibercrime interessados em explorar vulnerabilidades capazes de instalar malware nas máquinas das vítimas.

Um cenário plausível de exploração envolve o envio de arquivos compactados maliciosos por e-mail, aplicativos de mensagens ou downloads falsos. Após convencer a vítima a abrir o arquivo, um invasor poderia executar código arbitrário e iniciar a instalação de trojans, backdoors, ransomware ou outros tipos de malware.

O uso de vulnerabilidades em softwares de compactação não é novidade. Em 2025, uma falha no próprio 7-Zip permitia contornar o mecanismo de segurança Mark of the Web (MotW) do Windows e foi explorada como um zero-day por hackers ligados à Rússia para distribuir malware.

Ainda naquele ano, outro grupo russo explorou uma vulnerabilidade no WinRAR, identificada como CVE-2025-8088, em campanhas de phishing destinadas à instalação do malware RomCom.

Esses episódios demonstram que falhas em ferramentas amplamente utilizadas para manipulação de arquivos continuam sendo extremamente valiosas para agentes maliciosos, especialmente porque exploram uma ação comum do usuário: abrir um arquivo recebido por e-mail ou baixado da internet.

Até o momento, não existem evidências de exploração ativa da nova vulnerabilidade corrigida no 7-Zip 26.02. Ainda assim, pesquisadores recomendam que usuários e organizações realizem a atualização o quanto antes para reduzir a superfície de ataque e evitar que futuras campanhas de malware utilizem a falha como vetor de comprometimento.