7-Zip va aggiornato: scoperta una falla critica che espone i PC all’esecuzione di un codice dannoso

La popolarissima utility open source 7-Zip è stata colpita da una nuova vulnerabilità di sicurezza critica, catalogata con un punteggio di pericolosità di 8.8 su 10. La falla – identificata come CVE-2026-48095 – interessa potenzialmente centinaia di milioni di dispositivi in tutto il mondo: PC Windows, server Linux, sistemi cloud e infrastrutture di automazione industriale. Il pericolo concreto è che un malintenzionato possa eseguire codice dannoso sul computer della vittima semplicemente inducendola ad aprire un archivio appositamente manipolato, in formati comuni come .7z, .zip o .rar.

Non è necessario estrarre i file: basta aprire l'archivio per elencarne il contenuto, o che questo transiti attraverso un software automatizzato, perché la falla si attivi. Il problema riguarda la versione 26.00 del programma e tutte le precedenti; la 26.01, rilasciata il 27 aprile 2026, include la correzione. Poiché 7-Zip non dispone di un sistema di aggiornamento automatico, è necessario intervenire manualmente. Nei paragrafi che seguono analizziamo il funzionamento tecnico del bug e i passi necessari per mettersi al sicuro.

Come funziona tecnicamente il bug di 7-Zip

Il problema risiede nel modo in cui il software analizza la struttura dei file. Nello specifico, il difetto è nascosto nel codice dedicato alla lettura delle immagini disco in formato NTFS (il file system standard utilizzato da Microsoft per i sistemi operativi Windows NT, 10 e 11). Quando 7-Zip elabora questo tipo di file, un'immagine NTFS appositamente costruita può indurre un errore nel calcolo della dimensione del buffer (un'area di memoria temporanea che il programma usa per spostare i dati). A causa di un bug nell'espressione di dimensionamento, il buffer viene allocato con appena 1 byte di spazio invece della quantità corretta.

La successiva operazione di lettura scrive allora dati controllati dall'attaccante al di là di questo minuscolo buffer, generando quello che viene chiamato in gergo un heap buffer overflow: un trabocco nella memoria heap che, in condizioni favorevoli, consente al codice malevolo di prendere il controllo del flusso di esecuzione e girare con i privilegi del programma in uso. Su sistemi con risorse di memoria limitate, il risultato più probabile è invece un crash dell'applicazione o un denial of service.

Si potrebbe pensare che rinunciare ad aprire file con estensioni sospette sia sufficiente per restare al sicuro, ma non è così. Questo perché un malintenzionato potrebbe mascherare un'immagine NTFS malevola dandole l'estensione di un comune file .zip o .rar.

Perché la diffusione di 7-Zip amplifica il rischio

L'enorme diffusione di questo strumento moltiplica la superficie d'attacco in modo significativo. Oltre alla classica applicazione con interfaccia grafica su Windows, 7-Zip è incorporato silenziosamente in milioni di script aziendali, in sistemi OEM preinstallati dai produttori di computer e negli ambienti CI/CD, le catene automatizzate con cui gli sviluppatori testano e rilasciano software. Inoltre, diverse distribuzioni Linux, tra cui Ubuntu e RHEL 8, includono spesso pacchetti come p7zip che potrebbero risultare obsoleti e quindi vulnerabili.

C'è poi un ulteriore fattore di rischio legato alla natura open source del progetto: essendo il codice pubblicamente disponibile, molte applicazioni di terze parti lo hanno integrato al proprio interno. Questo significa che un archivio infetto può essere processato in modo del tutto automatico, senza che l'utente clicchi su nulla, da antivirus, strumenti di backup, gestori di file o piattaforme di analisi malware. Questi applicativi spesso operano con privilegi elevati, il che amplifica ulteriormente i potenziali danni in caso di compromissione.

Come proteggersi dalla nuova vulnerabilità

La soluzione è aggiornare 7-Zip alla versione 26.01 o successiva. Su Windows, è possibile verificare la versione installata aprendo l'applicazione e consultando la sezione Informazioni sul programma: se il numero è inferiore a 26.01, occorre scaricare il nuovo installer dal sito ufficiale – 7-zip.org– e avviarlo. È consigliabile completare questa operazione prima di interagire con qualsiasi archivio di provenienza esterna.

non perderti questo articolo

Come difendersi da Stealerium, il malware che vi ricatta se visitate siti porno