Il noto software open source 7-Zip è affetto da due vulnerabilità critiche che permettono l'esecuzione di codice arbitrario tramite file ZIP malevoli. Identificati come CVE-2025-11001 e CVE-2025-11002, i problemi derivano da una gestione errata dei link simbolici all'interno degli archivi ZIP. Un file appositamente costruito può forzare il programma a scrivere file al di fuori della directory di estrazione prevista, aprendo la porta a potenziali attacchi.

L'exploit richiede l'interazione dell'utente, per esempio l'apertura o l'estrazione di un archivio; può avere conseguenze gravi, soprattutto se il codice viene eseguito con privilegi elevati. Il rischio è amplificato in ambienti aziendali o server, dove 7-Zip è a volte integrato in flussi automatici di decompressione: un file ZIP malevolo potrebbe sovrascrivere librerie di sistema o introdurre malware in directory protette.

Le vulnerabilità sono state segnalate a maggio 2025 e corrette dal creatore di 7-Zip Igor Pavlov nella versione 25.00 rilasciata il 5 luglio. Tuttavia la comunicazione pubblica delle falle è avvenuta solo il 7 ottobre e molti utenti potrebbero ancora utilizzare versioni precedenti. È importante notare che 7-Zip non dispone di un sistema di aggiornamento automatico: l'installazione manuale della nuova versione è essenziale per mitigare il rischio.

In casi come questo le raccomandazioni comprendono evitare l'apertura di archivi provenienti da fonti non verificate e di aggiornare immediatamente alla versione 25.01 o successiva, disponibile sul sito ufficiale del progetto.

Spunti di approfondimento:

Grave falla in 7-Zip

Stealerium, il malware che ti fotografa dalla webcam quando visiti siti per adul...

Windows 11 finalmente supporta gli archivi Rar, 7Zip, Tar e altri ancora

Windows 11 finalmente supporta gli archivi RAR