Rendkívül veszélyes biztonsági hibát fedeztek fel az egyik legnépszerűbb nyílt forráskódú archiváló programban, a 7-Zipben. A sérülékenység a kritikusnak számító 8,8-as pontszámot kapta a CVSS-skálán (Common Vulnerability Scoring System), ami jelzi, hogy a hiba kihasználása minimális felhasználói interakció mellett is teljes rendszerkompromisszumhoz vezethet. A probléma ráadásul nemcsak a grafikus kezelőfelülettel rendelkező asztali alkalmazásokat, hanem a háttérben futó automatizációs szkripteket, fejlesztői munkafolyamatokat és harmadik fél által fejlesztett védelmi szoftvereket is közvetlenül fenyegeti.
A sérülékenység technikai háttere
A problémát a GitHub Security Lab kutatója, Jaroslav Lobačevski azonosította, a biztonsági rés pedig a CVE-2026-48095 (illetve a belső GHSL-2026-140) azonosítót kapta. A hiba lényege egy klasszikus kupac-alapú puffer-túlcsordulás (heap buffer overflow). Amikor a program egy speciálisan manipulált virtuális lemezképet vagy tömörített archívumot (például NTFS fájlrendszer-struktúrát) dolgoz fel, az NtfsHandler.cpp forrásfájlban található GetCuSize függvény egy matematikai számítási hiba (úgynevezett shift undefined behavior) miatt nem megfelelően határozza meg a szükséges tárterület méretét.
Ennek eredményeként a szoftver egy mindössze 1 bájtos pufferhelyet foglal le a memóriában, miközben a kibontási folyamat során a program megkísérel akár 256 megabájtnyi adatot beleírni ebbe a szűk tartományba. Ez a túlcsordulás közvetlenül felülírja a szomszédos memóriacímeken elhelyezkedő belső adatstruktúrákat, lehetővé téve az úgynevezett vtable hijack (virtuális függvénytábla-eltérítés) technikát. Ezzel a támadók átvehetik az irányítást a szoftver végrehajtási szála felett, és tetszőleges, rosszindulatú kódokat futtathatnak a célpont számítógépén.
A kockázatok és a kitettség mértéke
A sérülékenység kritikus sajátossága, hogy a rosszindulatú kód aktiválásához a felhasználónak nem szükséges kicsomagolnia a fertőzött állományt; a támadás már akkor is sikeresen lefut, ha a célszemély pusztán megnyitja vagy megtekinti az archívum tartalmát a 7-Zip felületén. A sikeres végrehajtáshoz a 64 bites modern rendszereken mindössze legalább 16 GB rendszermemória (RAM) jelenléte szükséges, ami napjainkban már alapvető konfigurációnak számít az üzleti és magáncélú számítógépeknél egyaránt. Alacsonyabb memóriakapacitás esetén a hiba leggyakrabban a program azonnali összeomlását (Denial of Service – DoS) idézi elő.
A fenyegetés globális szinten több százmillió eszközt érint, mivel a 7-Zip alapjául szolgáló forráskódot és könyvtárakat számtalan külső alkalmazásba építették be. Ilyenek például:
- Automatizált biztonsági mentést végző céges célszoftverek
- Vírusirtók és kártevő-elemző automatizált sandbox rendszerek
- Folyamatos integrációs és terjesztési (CI/CD) fejlesztői csővezetékek
- Különböző Linux disztribúciók (például az Ubuntu és a Red Hat Enterprise Linux) parancssoros 7z binárisai
Részletes adatok a sérülékenységről
| Paraméter | Részletek és értékek |
|---|---|
| CVE Azonosító | CVE-2026-48095 (GHSL-2026-140) |
| CVSS Súlyossági Érték | 8.8 (Kritikus / Magas) |
| Hiba Típusa | Heap Buffer Write Overflow (Kupac-alapú puffer-túlcsordulás) |
| Érintett Verzió | 7-Zip v26.00 (valamint a beágyazott könyvtárat használó szoftverek) |
| Javított Verzió | 7-Zip v26.01 vagy újabb |
| Támadási Vektor | Manipulált NTFS / lemezkép archívum megnyitása |
| Rendszerkövetelmény | >= 16 GB RAM a teljes kódvégrehajtáshoz x64-es architektúrán |
Magyarországi kitettség és érintettség
Hazánkban a 7-Zip az egyik legelterjedtebb segédprogram mind a lakossági felhasználók, mind a kis- és középvállalkozások körében, mivel ingyenes, reklámmentes és rendkívül gyors alternatívát nyújt a fizetős tömörítőkkel szemben. Sok hazai rendszeradminisztrátor előszeretettel alkalmazza a parancssoros verziót szerveroldali automatizált mentések lefutásakor. Mivel a szoftver nem tartalmaz beépített automatikus frissítési mechanizmust, a hazai rendszerek jelentős része védtelen maradhat, amennyiben az üzemeltetők vagy magánszemélyek nem hajtanak végre manuális verziófrissítést a hivatalos oldalon keresztül.
Védekezés és teendők
A biztonsági rés megszüntetésének egyetlen hatékony módja a szoftver azonnali manuális frissítése. A fejlesztők a koordinált közzétételi folyamat során gyorsan reagáltak, így a hibát javító 7-Zip 26.01-es verzió már elérhetővé vált. A felhasználóknak és a hálózati rendszergazdáknak javasolt ellenőrizniük a környezetükben futó összes asztali és kiszolgálói rendszert, különös figyelmet fordítva a háttérben futó automatizációs szkriptekre és a Linux-alapú tárolókra, amelyek beágyazva tartalmazhatják az elavult binárisokat.
