Vulnerabilidades en 7-Zip exponen a usuarios a la ejecución remota de codigo malicioso

El 7 de octubre pasado, Trend Micro’s Zero Day Initiative (ZDI) reveló dos vulnerabilidades críticas en 7-Zip, una herramienta de compresión de código abierto ampliamente utilizada.

Fallos en 7-Zip ponen en riesgo archivos y sistemas

Estas fallas, identificadas como CVE-2025-11001 y CVE-2025-11002, afectan la forma en que 7-Zip maneja los enlaces simbólicos dentro de archivos ZIP. Un archivo ZIP malicioso puede aprovechar estas vulnerabilidades para sobrescribir archivos en ubicaciones sensibles del sistema, lo que podría permitir la ejecución de código remoto con los mismos privilegios que el usuario que extrae el archivo. Ambas vulnerabilidades tienen una puntuación CVSS de 7.0, lo que indica un riesgo alto.

Aunque las actualizaciones que corrigen estas vulnerabilidades fueron lanzadas en julio, la divulgación pública ocurrió en octubre, dejando a muchos usuarios expuestos durante meses sin saberlo. Esto se debe en parte a que 7-Zip no cuenta con un mecanismo de actualización automática, lo que obliga a los usuarios a actualizar manualmente. Además, muchas versiones portátiles del programa no se incluyen en los sistemas de gestión de parches empresariales, lo que aumenta el riesgo en entornos corporativos.

Te recomendamos nuestra guía sobre el armado de un PC silencioso

Para protegerse, se recomienda actualizar a la versión 25.01 o superior de 7-Zip, disponible en el sitio web oficial del proyecto. Es importante evitar extraer archivos de fuentes no verificadas hasta que se haya realizado la actualización. Esta situación destaca la importancia de mantener todos los programas actualizados, incluso aquellos que no cuentan con mecanismos de actualización automática, para protegerse contra vulnerabilidades de seguridad. Os mantendremos al tanto de todas las novedades.