Новости
PeaZip 11.3: безопасная распаковка PEA
Предыдущий security-релиз PeaZip: что было исправлено в версии 11.3.
Коротко: 17 октября 2026 года вышел PeaZip 11.4.0 — security-релиз, закрывающий RCE-уязвимость в PEA-экстракторе (CVE-2026-102514, CVSS 8.4) и command-injection через имя файла в архиве (CVE-2026-105050, CVSS 7.1). Разработчик Джорджо Тани полностью убрал вызов консольных субпроцессов cmd/bash при упаковке и распаковке — это закрывает не только найденные баги, но и целый класс похожих атак. Обновиться стоит всем пользователям Windows, Linux и macOS, у кого установлена версия старше 11.4.0.
Что произошло
PeaZip — один из самых популярных бесплатных архиваторов с открытым исходным кодом: он умеет работать с десятками форматов (ZIP, 7Z, RAR, TAR, собственным PEA и другими) и регулярно упоминается как замена платным программам. 17 октября 2026 года единственный разработчик проекта, Джорджо Тани, выпустил версию 11.4.0 — релиз прямо называется security-обновлением и закрывает несколько уязвимостей, часть которых реально эксплуатируема.
Это уже третье за полгода обновление безопасности PeaZip: раньше мы разбирали PeaZip 11.3 и безопасную распаковку PEA и релиз PeaZip 11.2.0. Но 11.4.0 выделяется тем, что меняет саму архитектуру программы, а не только отдельные проверки.
Какие уязвимости закрыты
В релизе отдельно выделены две проблемы:
- CVE-2026-102514 (CVSS 8.4). Переполнение буфера при записи (out-of-bounds write) в экстракторе фирменного формата
.pea. Специально собранный архив мог привести к перезаписи участков памяти и выполнению произвольного кода — причём на всех платформах и без ввода пароля от архива. - CVE-2026-105050 (CVSS 7.1). Command-injection через имя файла внутри архива. Проблема была в неполной проверке спецсимволов: программа отслеживала только двойные кавычки в именах файлов, но пропускала обратные кавычки, точку с запятой и знак доллара — а их можно использовать, чтобы подмешать команду в то, что исполняется в системной оболочке. Уязвимость проявлялась в нестандартной конфигурации.
Для обеих уязвимостей было достаточно открыть специально подготовленный архив — без дополнительных действий пользователя, кроме запуска распаковки.
Почему отказ от консоли — главное изменение
Технически важнее конкретных CVE другое решение: разработчик полностью убрал вызов внешних консольных субпроцессов (cmd, bash и аналогичных) для задач архивирования и извлечения файлов. Раньше PeaZip в ряде сценариев формировал строку команды и передавал её системной оболочке — именно такой подход и порождает command-injection: если имя файла внутри архива содержит спецсимволы оболочки, а фильтрация неполная, атакующий может «дописать» свою команду.
!
Почему это важно для обычного пользователя
Распаковка архива — действие, которое кажется полностью пассивным: открыл файл — получил содержимое. На деле программа-архиватор по пути может обращаться к системным механизмам, и если в самом архиве спрятано вредоносное имя файла, код способен выполниться ещё до того, как вы увидите распакованные данные.
Дополнительно в 11.4.0 усилена входная валидация и включена проверка границ (range checking) при разборе бинарных структур архивов — это тот самый класс защиты, которого не хватало для предотвращения переполнения в PEA-экстракторе. Подробнее о том, как вообще устроены архивы разных форматов и чем их открывать, — в нашем разборе чем открыть RAR и другие архивы и материале ZIP, RAR или 7Z — какой формат архива выбрать.
Что делать пользователям
- Обновите PeaZip до 11.4.0. Минимально безопасной версией разработчик называет 11.3.0, но только 11.4.0 закрывает обе описанные уязвимости и меняет архитектуру распаковки.
- Не распаковывайте архивы из непроверенных источников в любом архиваторе — эксплойт запускается уже на этапе открытия файла, а не после явного запуска вложенного содержимого.
- Проверяйте подозрительные файлы заранее: если архив пришёл по почте или из незнакомого источника, не открывайте его сразу — сначала проверьте файл на вирусы.
- Если архив защищён паролем — это не гарантия безопасности содержимого: CVE-2026-102514 срабатывала ещё на этапе разбора структуры файла, до ввода пароля. Подробности о работе с защищёнными архивами — в материале как поставить пароль на архив.
Общие принципы безопасной работы с загрузками и архивами мы собрали в разделе безопасность файлов: он не привязан к конкретной программе и пригодится независимо от того, каким архиватором вы пользуетесь.
