Новости
7-Zip 26.06: улучшена поддержка split-файлов Linux
Та же версия 26.06, где закрыта CVE-2026-125742, подросла и как файловый инструмент.
Коротко: CVE-2026-125742 — уязвимость записи за границы буфера (heap out-of-bounds write) в LZX-декодере 7-Zip, которая срабатывает на многотомном CAB-архиве с заниженным размером окна продолжения. CVSS v3.1 — 7.8, CVSS v4.0 — 8.5 (обе оценки High). Уязвимы все версии 7-Zip до 26.06 включительно; исправление вошло в релиз 26.06 от 6 ноября 2026. Автообновления у 7-Zip нет — обновить программу нужно вручную.
Что за уязвимость
LZX — алгоритм сжатия, который 7-Zip умеет распаковывать внутри формата CAB (Cabinet, используется, например, в дистрибутивах Windows и инсталляторах). Согласно описанию в базе OpenCVE, уязвимость возникает, когда многотомный CAB-архив объявляет для тома продолжения окно меньшего размера, чем у исходного тома. Декодер LZX в 7-Zip это не проверяет и пишет распакованные данные за границы выделенного буфера в куче — это классический CWE-787 (Out-of-bounds Write).
Итог — повреждение памяти процесса в момент распаковки. В зависимости от того, как именно расположены данные в куче, это может привести либо к падению 7-Zip, либо — в худшем случае — к выполнению произвольного кода в контексте пользователя, который открыл архив.
Как это эксплуатируется
Эксплуатация не требует от пользователя ничего, кроме распаковки присланного файла: достаточно, чтобы жертва открыла или извлекла специально собранный многотомный .cab-архив в 7-Zip. Разбор на Ostorlab описывает сценарий как «crafted CAB → RCE»: злоумышленник заранее готовит архив с «отравленным» заголовком тома продолжения, и при его распаковке декодер LZX пишет данные туда, куда не должен.
!
Почему это важно
CAB-файлы распаковывают не только вручную: их обрабатывают инсталляторы, системные утилиты и скрипты развёртывания. Если 7-Zip используется в автоматической обработке входящих архивов (почтовые шлюзы, антивирусные песочницы, CI-пайплайны), уязвимая версия подвергает риску весь такой конвейер, а не только десктоп конкретного человека.
Когда вышел патч и что в нём ещё
Фикс для CVE-2026-125742 вошёл в исходники и релиз 7-Zip 26.06, опубликованный 6 ноября 2026 года. В официальном журнале изменений на 7-zip.org запись традиционно скромная — «исправлены некоторые ошибки и уязвимости», без упоминания конкретных CVE; номер CVE и техническое описание появились отдельно, через публикацию в базах уязвимостей 10 ноября. Та же версия 26.06 улучшила поддержку файлов, разбитых утилитой split в Linux — об этом мы писали в материале 7-Zip 26.06: улучшена поддержка split-файлов Linux.
Это не первая уязвимость 7-Zip, закрытая в 2026 году: ранее уже устраняли переполнение кучи в обработке XZ-архивов и проблему с сохранением метки Mark-of-the-Web при распаковке RAR5 — подробный разбор предыдущего релиза есть в новости 7-Zip 26.04: закрыты уязвимости без подробностей.
Что делать прямо сейчас
- Проверьте версию: 7-Zip File Manager → «Справка» → «О программе». Любая версия ниже 26.06 уязвима.
- Скачайте установщик только с официального сайта 7-zip.org или из официальных релизов на GitHub/SourceForge.
- На Windows с winget обновление ставится одной командой:
winget upgrade 7zip.7zip. - До обновления не распаковывайте присланные CAB-архивы (и вложенные в них многотомные комплекты) из недоверенных источников — писем, форумов, случайных ссылок.
Если вы выбираете архиватор для повседневной работы, у нас есть разбор ZIP, RAR или 7z: какой архив выбрать, а базовые шаги по распаковке самого формата 7z — в материале чем открыть файл 7z. Общие правила безопасной работы с присланными файлами — в разделе безопасность файлов.
