7-Zip: Yüksek riskli güvenlik açığı kötü amaçlı kodun girmesine izin veriyor

BT araştırmacıları, 7-Zip arşiv programında, saldırganların kötü amaçlı kod yerleştirmesine olanak tanıyan bir güvenlik açığı keşfettiler. Tek yapmanız gereken özenle hazırlanmış bir arşiv dosyasını açmak. Güvenlik sızıntısını kapatacak bir güncelleme mevcut.

GitHub güvenlik ekibi ilgili bir güvenlik açığı girişi yayınladı. 7-Zip 26.00'da kötü niyetli aktörler yığın tabanlı arabellek taşmasına neden olabilir. Sıkıştırılmış NTFS akışlarını işlerken çok küçük bir arabellek oluşturulabilir ve bu da uygulamanın çökmesine ve hatta rastgele kod çalıştırılmasına neden olabilir (CVE-2026-48095, CVSS) 8.8risk”yüksek“).

Boşluğun davranışı sistem mimarisinin kelime genişliğine bağlı olarak farklılık gösterir. 32 bitlik yapılar her durumda etkilenir; 64 bit sistemlerde bu, sistemde gerçekte ne kadar RAM yüklü olduğuna bağlıdır. 16 GB ve üzeri sistemlerde bellek tahsisi doğru bir şekilde gerçekleştiği için buraya kötü amaçlı kodlar girebiliyor.

Daha az belleğe sahip sistemlerde bu durum başarısız olabilir ve hizmet reddi durumuna yol açabilir. Raporda ayrıca kavram kanıtı kodu da yer alıyor; bu, saldırganların yakında güvenlik açığını standart repertuarlarına ekleyebilecekleri anlamına geliyor.

SOC Prime ekibi, güvenlik açığıyla ilgili bir blog yazısı yayınladı. Saldırganların NTFS işleyicisini etkinleştirmek için değiştirilmiş arşivler için özel dosya uzantıları kullanmasına gerek olmadığından güvenlik açığı tehlikelidir. Sonlar ayrıca .7z, .zip, .rar veya benzeri gibi isteğe bağlı olabilir. Bundan sorumlu işleyiciler dosyadaki verileri işleyemezse, 7-Zip bir tür MIME büyüsü uygular ve dosyayı tanıyıp işlediği için NTFS işleyicisini girdiyle besler.

Güncellenmiş yazılım

Sorun 7-Zip 26.00'da mevcut. 27 Nisan 2026'da, diğer şeylerin yanı sıra bu güvenlik açığını kapatan 7-Zip 26.01 piyasaya sürüldü. 7-Zip otomatik güncelleme mekanizması içermediğinden kullanıcıların ve yöneticilerin manuel olarak güncelleme yapması gerekmektedir. Windows komut isteminde aramalısınız winget upgrade --all Güncellemeyi bulun ve yükleyin.

Aksi takdirde güncel 7-Zip sürümü de projenin indirme sayfasından indirilebilir. Sourceforge'daki başka bir indirme sayfasında ayrıca Windows dışındaki çeşitli platformlar için güncellemeler bulunmaktadır; burada sürüm 26.00'e kıyasla diğer değişiklikleri de bulabilirsiniz.

Güncelleme hızlı bir şekilde gerçekleşmelidir. Geçtiğimiz Kasım ayında saldırganlar, kurbanlarına kötü amaçlı kod aktarmak için 7-Zip'teki bir güvenlik açığını kötüye kullandı.

Ayrıca bakınız:

• 7-Zip: Haber'den hızlı ve güvenli bir şekilde indirin

(DMK)