Если на вашем компьютере стоит 7-Zip — один из самых популярных бесплатных архиваторов, — прямо сейчас откройте в нём «Справка → О программе» и посмотрите версию. Всё, что старше 26.02, уязвимо: специально подготовленный архив может не просто не распаковаться, а выполнить на компьютере посторонний код. Сам архиватор об этом не предупредит — механизма автообновления у 7-Zip нет в принципе, поэтому единственный способ закрыть дыру — вручную скачать свежую версию с 7-zip.org и установить поверх старой.
Уязвимость нашёл исследователь Лэндон Пэн: это переполнение буфера при разборе данных в формате XZ. На практике достаточно открыть вредоносный архив — и декодер записывает данные за пределы отведённой памяти, что позволяет запустить произвольный код с правами пользователя. Разработчик 7-Zip закрыл проблему ещё 25 июня в версии 26.02, но публично о ней стало известно только на прошлой неделе, когда программа Zero Day Initiative раскрыла детали в адвайзори ZDI-26-444.
Почему это серьёзнее, чем обычный патч
Признаков того, что дырой уже пользуются злоумышленники, пока нет. Но теперь описание уязвимости публично, а аудитория у 7-Zip огромная и — из-за отсутствия автообновлений — хронически устаревшая: люди ставят архиватор один раз и годами не вспоминают о нём. Именно такое сочетание любят авторы фишинговых рассылок: вложение-архив остаётся классикой жанра, и поддельные письма «от Microsoft» или «от бухгалтерии» с приложенным файлом приходят регулярно. Раньше опасность пряталась внутри архива — теперь опасным может быть сам факт его открытия.
Обновление занимает минуту: на официальном сайте качаете установщик под свою разрядность (для большинства современных ПК — x64), запускаете, соглашаетесь на замену — настройки и ассоциации файлов сохранятся. Скачивать 7-Zip откуда-либо, кроме 7-zip.org, не стоит: на волне таких новостей всегда всплывают «обновлённые сборки» со встроенным сюрпризом. И общее правило остаётся прежним: архив из неожиданного письма не надо открывать даже самой свежей версией архиватора.
