7-Zip : une faille RCE dans le parseur d'archives - mettez à jour dès maintenant

Une vulnérabilité critique dans 7-Zip permet l'exécution de code à distance via une archive piégée. Le correctif est disponible ; vu la base installée, l'urgence est réelle.

Faits

Un rapport publié le 18 juillet 2026 par BleepingComputer signale une faille RCE (Remote Code Execution - exécution de code à distance) corrigée dans 7-Zip 26.02. Le vecteur est une archive spécialement conçue : ouvrir l'archive avec 7-Zip suffit à déclencher l'exploitation. Le correctif est publié par l'éditeur.

Qui est impacté

• Toute installation 7-Zip antérieure à la version 26.02.
• Serveurs de partage de fichiers, workflows CI qui décompressent des artefacts non fiables, passerelles mail qui scannent des pièces jointes.
• Postes utilisateurs - 7-Zip est massivement embarqué en entreprise via winget, images MDT/SCCM, packages Chocolatey.

Analyse

7-Zip parse une quantité impressionnante de formats - 7z, zip, rar, tar, iso, wim, chm - ce qui donne au parseur une surface d'attaque énorme. Chaque nouveau format supporté agrandit la fenêtre de risques mémoire (heap overflows, integer overflows sur les headers).

L'écosystème complique la remédiation : 7-Zip n'a pas d'auto-update natif sur Windows, ce qui garantit une longue traîne d'installations vulnérables plusieurs mois après un patch. Les fournisseurs tiers (SharePoint, mail scanners, produits AV qui utilisent une bibliothèque dérivée) tardent aussi à embarquer les correctifs.

À faire maintenant

• Installer 7-Zip 26.02 (ou supérieur) depuis 7-zip.org - écraser l'installation existante.
• En entreprise : pousser la mise à jour via winget/Chocolatey/SCCM ; auditer les serveurs de build qui décompressent des artefacts externes.
• Bloquer temporairement l'ouverture automatique d'archives depuis les scans email si votre gateway utilise un moteur dérivé.
• Rappel d'hygiène : ne jamais ouvrir une archive reçue d'une source non fiable, même hors-ligne - ce type de faille se déclenche à l'ouverture, pas à l'exécution du contenu.

À retenir

Un utilitaire "petit et discret" comme 7-Zip touche des millions de postes ; une faille dans son parseur, c'est une porte d'entrée qui s'ouvre chez tout le monde en même temps.