Actualización urgente para usuarios de 7-Zip: Riesgo de ejecución de código mediante archivos maliciosos
7-Zip, una de las herramientas de compresión de archivos más utilizadas en entornos corporativos y personales, ha publicado recientemente la versión 26.02. Esta actualización es crítica, ya que soluciona una vulnerabilidad de ejecución remota de código (RCE) que podría permitir a un atacante tomar el control de un sistema afectado.
¿En qué consiste el fallo técnico?
La vulnerabilidad, descubierta por el investigador Landon Peng, reside en la forma en que 7-Zip procesa los datos comprimidos en formato XZ. Según los informes técnicos, un archivo XZ especialmente diseñado puede provocar un desbordamiento de búfer basado en el montón (heap-based buffer overflow).
En términos sencillos para la gestión empresarial, esto significa que el programa comete un error de memoria al intentar descomprimir el archivo, permitiendo que código malicioso se escriba en áreas de memoria donde no debería estar. Si un usuario abre uno de estos archivos maliciosos, el atacante podría ejecutar comandos con los mismos privilegios que el usuario actual.
El riesgo de la falta de actualizaciones automáticas
Uno de los mayores desafíos de seguridad con 7-Zip es que no incluye una función de actualización automática. Esto implica que, a diferencia de los navegadores web o los sistemas operativos modernos, el software no se parcheará solo. Cada empresa debe asegurarse de que sus departamentos de TI o los propios usuarios descarguen e instalen manualmente la última versión desde el sitio oficial.
Contexto de amenazas y recomendaciones
No es la primera vez que los gestores de archivos comprimidos son el blanco de ciberataques. Históricamente, grupos de hackers (incluyendo actores estatales) han explotado fallos en herramientas como WinRAR y versiones anteriores de 7-Zip para distribuir malware mediante campañas de phishing o ingeniería social.
Desde Intedya, recomendamos a las organizaciones tomar las siguientes medidas preventivas:
- Actualizar inmediatamente: Descargar la versión 26.02 (o superior) desde 7-zip.org.
- Auditoría de software: Utilizar herramientas de gestión de activos para identificar qué equipos en la red tienen instaladas versiones vulnerables.
- Concienciación: Recordar a los empleados la importancia de no abrir archivos comprimidos de fuentes desconocidas o correos electrónicos sospechosos.
- Uso de gestores de paquetes: Considerar el uso de herramientas como winget en Windows para centralizar y facilitar la actualización de aplicaciones que carecen de autoupdate.
Aunque actualmente no hay informes de que esta vulnerabilidad específica esté siendo explotada masivamente, la disponibilidad pública de la información técnica hace que sea solo cuestión de tiempo antes de que los atacantes la integren en sus arsenales.
Fuentes
- Bleeping Computer — Update now: 7-Zip fixes RCE flaw exploitable with malicious archives
https://www.bleepingcomputer.com/news/security/update-now-7-zip-fixes-rce-flaw-exploitable-with-malicious-archives/