7-Zip: una vulnerabilidad RCE en el analizador de archivos - actualice ahora

Una vulnerabilidad crítica en 7-Zip permite la ejecución de código remoto a través de un archivo comprimido malicioso. El parche está disponible; dado la base instalada, la urgencia es real.

Hechos

Un informe publicado el 18 de julio de 2026 por BleepingComputer reporta una vulnerabilidad RCE (Remote Code Execution - ejecución de código remoto) corregida en 7-Zip 26.02. El vector es un archivo especialmente diseñado: abrir el archivo con 7-Zip es suficiente para desencadenar la explotación. El parche ha sido publicado por el editor.

¿Quién está afectado?

• Cualquier instalación de 7-Zip anterior a la versión 26.02.
• Servidores de intercambio de archivos, flujos de trabajo CI que descomprimen artefactos no confiables, pasarelas de correo que escanean archivos adjuntos.
• Estaciones de trabajo de usuarios: 7-Zip está masivamente integrado en empresas mediante winget, imágenes MDT/SCCM y paquetes Chocolatey.

Análisis

7-Zip analiza una cantidad impresionante de formatos: 7z, zip, rar, tar, iso, wim, chm, lo que otorga al analizador una enorme superficie de ataque. Cada nuevo formato soportado aumenta la ventana de riesgos de memoria (desbordamientos de heap, desbordamientos enteros en los encabezados).

El ecosistema complica la remediación: 7-Zip no tiene actualización automática nativa en Windows, lo que garantiza una larga cola de instalaciones vulnerables varios meses después de un parche. Los proveedores de terceros (SharePoint, escáneres de correo, productos de AV que utilizan una biblioteca derivada) también tardan en incorporar las correcciones.

Qué hacer ahora

• Instalar 7-Zip 26.02 (o superior) desde 7-zip.org - sobrescribir la instalación existente.
• En empresas: impulsar la actualización mediante winget/Chocolatey/SCCM; auditar los servidores de compilación que descomprimen artefactos externos.
• Bloquear temporalmente la apertura automática de archivos desde los escáneres de correo si su pasarela utiliza un motor derivado.
• Recordatorio de higiene: nunca abrir un archivo recibido de una fuente no confiable, incluso sin conexión: este tipo de vulnerabilidad se activa al abrir el archivo, no al ejecutar su contenido.

Para recordar

Una utilidad "pequeña y discreta" como 7-Zip afecta a millones de estaciones; una vulnerabilidad en su analizador es una puerta de entrada que se abre al mismo tiempo en todas partes.