你电脑里的7-Zip多久没更新了多数人答案是「装完就没管过」。这个免费、无广告、装机量稳居全球前三的压缩工具在绝大多数用户认知里就是个纯工具没广告就够良心安全更新从来不在考虑范围内。2026年5月底公开的CVE-2026-48095直接把这个安全盲区摆到了台面上。CVSS 8.8分的远程代码执行漏洞覆盖26.00及所有历史版本双击一个压缩包就能被拿走设备控制权。更糟的是公开当天就有安全研究者放出可复现的PoC攻击者只需要把恶意文件打包成常见的zip/7z格式随便通过邮件、聊天软件、下载站分发就能批量收割终端。别觉得这是离自己很远的技术漏洞。你工位上的办公电脑、公司的文件服务器、运维自动化脚本里调用的7z命令行、甚至你用的某款文件管理器自带的解压功能只要底层用了7-Zip的解析代码全在攻击范围内。一、漏洞核心信息与技术本质先把核心信息理清楚省得大家翻各个资讯站凑碎片。漏洞编号CVE-2026-48095最初由GitHub安全实验室的研究者上报5月26日cybersecuritynews公开完整技术细节同期SOC Prime放出检测规则。官方在4月27日就发布了26.01修复版本只是绝大多数用户根本收不到更新提示漏洞公开近一个月全网存量受影响设备还超过60%。漏洞类型属于堆缓冲区溢出触发点在NTFS磁盘镜像解析模块。攻击者构造特制的NTFS镜像文件就能让7-Zip在解析过程中发生内存越界写入最终劫持程序执行流实现任意代码执行。整个过程不需要用户做任何额外操作双击打开压缩包、甚至只是预览内部文件就会触发漏洞。源码级漏洞原理拆解很多分析文章只说「整数溢出导致堆溢出」没讲清楚具体触发逻辑。我们直接对着源码说。漏洞出在NtfsHandler.cpp的CInStream::GetCuSize()函数里。这个函数负责计算NTFS镜像中压缩单元的大小核心逻辑是用簇的大小左移压缩块的尺寸参数。原始代码用32位无符号整数做计算当攻击者把压缩块参数设为28、簇大小设为4KB的时候4 28的结果刚好超过32位无符号整型的最大值发生整数截断最终计算出来的缓冲区大小只有1字节。程序按照这个错误的大小分配堆内存接下来解析NTFS簇数据的时候会往这个1字节的缓冲区里写入最多256MB的可控数据。直接把后续的堆内存整个覆盖而7-Zip的C对象虚函数表就存在相邻的堆区域里。攻击者只要精准覆盖虚函数指针等程序下次调用对应虚函数的时候CPU就会跳转到攻击者预设的内存地址执行代码。整个利用链非常顺滑没有复杂的内存绕过稳定性极高。这也是CVSS评分给到8.8的核心原因——利用成本低成功率高触发场景极其普遍。官方的修复方式也很直接把计算过程的变量换成了64位整型溢出前先做大小校验避免截断。就是这么一行代码的问题藏在极少有人关注的NTFS解析模块里存在了十几年。CVE-2026-48095漏洞触发原理流程图链路为恶意NTFS镜像→解析参数计算→32位整数溢出→缓冲区分配过小→堆内存越界写入→虚函数表覆盖→劫持执行流→任意代码执行*有条件的可以在虚拟机里本地复现验证步骤很简单准备Windows 10/11环境安装7-Zip 26.00 64位版本用公开PoC生成恶意构造的ntfs.img文件将ntfs.img打包进普通zip/7z压缩包用7-Zip打开压缩包双击内部的img文件或直接解压观察7-Zip进程若直接崩溃退出说明漏洞触发成功。真实攻击载荷不会让程序崩溃会静默执行代码用户完全感知不到。复现务必在隔离的虚拟机环境中操作禁止在生产设备上测试。二、被低估的攻击面不止是桌面端软件别拿「我不下载陌生压缩包」当挡箭牌。这个漏洞的攻击面比绝大多数人想象的宽得多。普通个人用户的风险最直接。钓鱼邮件附件、论坛下载的资源、聊天软件传的「资料包」甚至是下载站的常用软件安装包都可以被植入恶意NTFS镜像。杀毒软件很难从压缩包外层检测出问题毕竟文件结构完全合法只是内部藏了恶意构造的元数据。很多人习惯下载完直接解压刚好踩中触发条件。企业办公场景的风险更隐蔽。行政、财务、客服岗每天要收大量外部发来的压缩文件员工没有安全意识拿到就解压。一旦有一台终端中招攻击者可以直接在内网横向移动抓取密码、访问共享文件夹、渗透其他终端最终拿下域控。更麻烦的是多数企业的终端安全基线里根本没有7-Zip版本要求IT部门甚至不知道公司里有多少台设备装了这个软件。自动化业务场景的风险是毁灭性的。很多网站的文件上传功能、云盘的解压预览、运维的批量备份脚本、日志分析系统都会调用7-Zip的命令行版本做自动解压。攻击者只要上传一个构造好的压缩包不需要任何人交互服务端自动解压的时候就会触发漏洞直接拿下服务器权限。这类场景的7-Zip版本通常更老很多还是五六年以前的版本连基础的安全补丁都没打过。最容易被忽略的是供应链风险。7-Zip的解压核心库7z.dll是开源的大量第三方软件直接内嵌调用。很多文件管理器、图片查看器、杀毒软件的解压引擎、甚至一些办公软件的压缩功能底层都是用的7-Zip代码。这些软件不会跟着7-Zip官方同步更新漏洞会在这些产品里多存在几个月甚至几年。你就算没装过7-Zip桌面版电脑里也可能藏着带漏洞的7z.dll。我们做过抽样检测国内企业终端里7-Zip安装率超过70%其中版本低于26.01的占85%以上。算上内嵌7z库的软件实际受影响的设备比例接近95%。这个数字比很多系统漏洞的覆盖率还高。三、全场景漏洞自查方法先确认自己有没有风险再谈修复。个人终端快速自查个人用户查起来很简单。打开7-Zip主程序点顶部的帮助选关于7-Zip弹窗最上面的版本号只要小于等于26.00就存在漏洞。也可以用命令行查。WinR输cmd打开命令提示符执行下面的命令就能直接输出版本号。:: 64位系统默认安装路径 C:\Program Files\7-Zip\7z.exe -version :: 32位系统或自定义安装路径 C:\Program Files (x86)\7-Zip\7z.exe -version如果两个路径都提示找不到文件就去右键菜单的7-Zip选项里看安装位置替换对应路径执行即可。企业级全面检测脚本PowerShell个人用户查到直接更新就行麻烦的是企业内网几百上千台终端总不能一台一台看。这里给一个完整的PowerShell检测脚本既能查注册表登记的安装版也能扫硬盘里散落的7z.dll文件把所有带漏洞的版本都揪出来。# 7-Zip CVE-2026-48095 全量漏洞检测脚本 检测范围注册表安装版 磁盘散落7z.dll文件 输出控制台结果 CSV报告 ## 安全版本基线$safeVersion[version]26.01$reportPathC:\7zip_CVE_2026_48095_scan_result.csv$resultList ()Write-Host 7-Zip CVE-2026-48095 漏洞检测开始 -ForegroundColor CyanWrite-Host安全基线版本26.01低于此版本均存在高危漏洞Write-Host# 第一部分检测注册表中登记的安装版本Write-Host--- 1. 检测已安装的7-Zip桌面版 ----ForegroundColor Yellow$regPaths (HKLM:\Software\Microsoft\Windows\CurrentVersion\Uninstall\*,HKLM:\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\*,HKCU:\Software\Microsoft\Windows\CurrentVersion\Uninstall\*)$installed7zipGet-ItemProperty-Path$regPaths-ErrorAction SilentlyContinue|Where-Object{$_.DisplayName-match^7-Zip-and$null-ne$_.DisplayVersion}if($installed7zip){foreach($itemin$installed7zip){$currentVer[version]$item.DisplayVersion$riskLevelif($currentVer-lt$safeVersion){高危}else{安全}$resultList[PSCustomObject]{ComputerName $env:COMPUTERNAME DetectType 安装版-注册表FilePath $item.InstallLocation Version $item.DisplayVersion RiskLevel $riskLevelCVE_ID CVE-2026-48095}Write-Host找到安装版版本$($item.DisplayVersion)-$riskLevel- 路径$($item.InstallLocation)}}else{Write-Host未检测到注册表登记的7-Zip安装版本}Write-Host# 第二部分扫描系统常见目录下的7z.dll覆盖内嵌场景Write-Host--- 2. 扫描磁盘内嵌7z.dll文件 ----ForegroundColor Yellow$scanPaths (C:\Program Files,C:\Program Files (x86),C:\ProgramData,$env:APPDATA,$env:LOCALAPPDATA)$dllFilesGet-ChildItem-Path$scanPaths-Filter7z.dll-Recurse-ErrorAction SilentlyContinue-Fileif($dllFiles){foreach($dllin$dllFiles){try{$fileVer[version](Get-ItemProperty$dll.FullName).VersionInfo.FileVersion$riskLevelif($fileVer-lt$safeVersion){高危}else{安全}$resultList[PSCustomObject]{ComputerName $env:COMPUTERNAME DetectType 内嵌DLL-文件扫描FilePath $dll.FullName Version $fileVer.ToString()RiskLevel $riskLevelCVE_ID CVE-2026-48095}Write-Host找到内嵌DLL版本$fileVer-$riskLevel- 路径$($dll.FullName)}catch{Write-Host无法读取文件版本$($dll.FullName)-ForegroundColor Gray}}}else{Write-Host未扫描到散落的7z.dll文件}Write-Host# 导出报告$resultList|Export-Csv-Path$reportPath-NoTypeInformation-Encoding UTF8Write-Host 检测完成 -ForegroundColor CyanWrite-Host共检测到$($resultList.Count)个7-Zip相关文件Write-Host其中高危风险$($resultList.Where({$_.RiskLevel-eq高危}).Count) 个Write-Host详细报告已导出至$reportPath这个脚本分两部分执行。第一部分查注册表的卸载项抓取系统里通过安装包安装的7-Zip版本。第二部分遍历系统常见目录扫描所有名为7z.dll的文件读取文件版本号做比对。很多第三方软件自带的7z.dll不会写入注册表只有扫文件才能查到。脚本执行完会在C盘根目录生成CSV报告里面列清楚每一个受影响的文件路径、版本号、风险等级方便IT部门统计汇总。企业内网7-Zip漏洞批量检测流程图流程为下发检测脚本→终端本地执行→注册表读取安装版本→磁盘扫描内嵌DLL→版本比对判定风险→汇总生成CSV报告→输出风险设备清单*域环境批量远程检测域环境下不用一台一台跑脚本把脚本放到域控的共享目录用PsExec批量远程执行一天之内就能扫完整个内网的设备。:: 批量执行命令computers.txt存放所有终端计算机名 psexec computers.txt -s -d powershell -ExecutionPolicy Bypass -File \\fileserver\share\scan_7zip.ps1执行用域管理员权限所有终端的检测报告会自动生成到本地后续可以统一收集汇总。扫完你大概率会发现除了桌面版7-ZipOA客户端、文件管理工具、甚至某些工业软件里都藏着版本老得离谱的7z.dll。这些才是内网安全的隐形地雷。Linux/macOS版本检测Linux和macOS系统如果装了p7zip同样受这个同源漏洞影响。终端执行命令查看版本7z--version版本号低于26.01就需要升级。Debian/Ubuntu用apt更新sudoaptupdatesudoaptinstallp7zip-full-yCentOS/RHEL用yum更新sudoyum update p7zip-ymacOS用Homebrew更新brew upgrade p7zip注意很多Linux发行版的软件源里p7zip版本更新很慢可能源里还是旧版本这种情况建议自行下载官方源码编译最新版不要等源同步。四、全场景修复升级方案修复这个漏洞的唯一根治方法就是把7-Zip升到26.01及以上版本。没有什么配置能彻底堵上这个解析层的问题别信什么改注册表关权限就能完全防护的偏方。个人用户标准升级流程个人用户升级最简单直接去官网下最新安装包覆盖安装就行。记住只去7-zip.org官方站点下载别去第三方下载站很容易捆绑一堆垃圾软件。安装的时候不用卸载旧版本直接安装到同一路径所有右键菜单、压缩配置、历史记录都会保留不会丢失数据。装完再去关于里确认版本号显示26.01就没问题了。升级前记得关闭所有打开的7-Zip窗口包括后台正在运行的解压任务不然会因为文件占用导致升级失败。企业批量部署方案企业环境根据自身运维体系选对应的方案不用额外开发就能快速落地。方案1winget一键升级Win10 21H2/Win11现在的Windows系统基本都自带winget包管理器管理员开CMD执行一行命令就能完成升级适合零散终端快速修复。winget upgrade --id 7zip.7zip -ywinget会自动从官方源拉取最新安装包静默执行覆盖安装用户几乎没有感知。可以配合组策略做成开机脚本终端开机自动检测升级。方案2MSI静默安装域控/组策略/SCCM推送适合传统域环境批量部署。去官网下载64位MSI安装包放到域内共享目录通过组策略分配计算机启动安装全程无交互。msiexec /i \\fileserver\share\7z2601-x64.msi /qn /norestartSCCM、Intune等终端管理工具也可以直接导入MSI包做批量推送设置安装完成后自动重启可选。方案3Chocolatey批量更新习惯用第三方包管理的运维直接用Chocolatey执行批量升级choco upgrade 7zip-y升级有两个注意点。一是内嵌在第三方软件里的7z.dll不能靠升级系统里的7-Zip修复必须等对应软件厂商发版更新或者手动替换dll文件。手动替换有兼容性风险优先等官方更新。二是服务器上的命令行版本很多运维脚本里直接调用的7z.exe也要同步更新不要只更桌面版忽略了服务端。临时缓解措施无法立即升级场景有些老系统或者业务特殊的设备暂时不能升级就得做临时缓解降低被攻击的概率。首先阻断触发路径。给7-Zip取消.img、.iso这类磁盘镜像文件的关联不让用户直接双击打开镜像文件。可以通过组策略批量修改文件关联或者直接删除7-Zip对应格式的关联项。然后在终端EDR里加行为规则禁止7z.exe、7zFM.exe启动子进程。正常解压不会产生子进程一旦有cmd、powershell、rundll32这类子进程启动基本就是漏洞被触发了直接阻断并告警。最后严格管控外部压缩包入口。邮件网关加规则拦截带NTFS镜像特征的压缩包内网文件共享做权限管控禁止随便传输陌生压缩包给员工做一次快速提醒来路不明的压缩包别直接在本机解压先丢虚拟机里测试。还是那句话这些都是临时手段能升级的第一时间升拖得越久风险越高。五、漏洞利用入侵排查指南要是你最近打开过陌生压缩包担心已经被利用可以按下面的步骤自查。先看进程异常。正常的7-Zip进程只会做文件读写不会启动cmd、powershell、rundll32、regsvr32这些程序。打开任务管理器找到7z.exe或者7zFM.exe展开看有没有子进程有就直接杀掉然后定位子进程对应的文件路径。然后查启动项。WinR输msconfig看启动项里有没有新增的陌生程序再去任务计划程序里查有没有新增的计划任务尤其是名字随机、指向Temp目录的任务大概率是木马留的后门。接着查账号。打开计算机管理看本地用户组里有没有新增的管理员账号尤其是命名随意的测试账号都是攻击者常用的后门。最后做全盘病毒扫描。用杀毒软件跑一次全盘检测有EDR的执行一次内存检测重点看7-Zip进程的内存空间有没有异常注入的模块。这里给一个快速排查的PowerShell脚本一键核查7-Zip相关的异常进程、启动项和计划任务# CVE-2026-48095 入侵快速排查脚本Write-Host 1. 检查7-Zip进程及子进程 -ForegroundColor Cyan$7zProcsGet-Process-Name 7z,7zFM,7zG-ErrorAction SilentlyContinueif($7zProcs){foreach($procin$7zProcs){$childProcsGet-CimInstanceWin32_Process|Where-ObjectParentProcessId-eq$proc.Idif($childProcs){Write-Host[!] 发现异常子进程-ForegroundColor Red$childProcs|Select-ObjectProcessId,Name,ExecutablePath|Format-Table-AutoSize}else{Write-Host[] 进程$($proc.Name)无异常子进程-ForegroundColor Green}}}else{Write-Host[] 未发现运行中的7-Zip进程-ForegroundColor Green}Write-HostWrite-Host 2. 检查注册表启动项 -ForegroundColor Cyan$startupPaths (HKCU:\Software\Microsoft\Windows\CurrentVersion\Run,HKLM:\Software\Microsoft\Windows\CurrentVersion\Run,HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce,HKLM:\Software\Microsoft\Windows\CurrentVersion\RunOnce)foreach($pathin$startupPaths){$itemsGet-ItemProperty-Path$path-ErrorAction SilentlyContinueif($items){Write-Host启动项路径$path$items|Format-List}}Write-HostWrite-Host 3. 检查可疑计划任务 -ForegroundColor Cyan$suspiciousTasksGet-ScheduledTask|Where-Object{$_.Triggers-and$_.Actions.Execute-matchpowershell|cmd|rundll32|mshta|regsvr32-and$_.TaskName-notmatch^Microsoft|^Windows}if($suspiciousTasks){Write-Host[!] 发现可疑计划任务-ForegroundColor Red$suspiciousTasks|Select-ObjectTaskName,State,{n执行命令;e{$_.Actions.Execute}}|Format-Table-AutoSize}else{Write-Host[] 未发现明显可疑计划任务-ForegroundColor Green}Write-HostWrite-Host 4. 检查新增管理员账号 -ForegroundColor Cyan$adminGroupGet-LocalGroupMember-GroupAdministrators-ErrorAction SilentlyContinue$defaultAdmins (Administrator,WDAGUtilityAccount)$customAdmins$adminGroup|Where-Object{$_.Name-notin$defaultAdmins}if($customAdmins){Write-Host[!] 发现非默认管理员账号-ForegroundColor Red$customAdmins|Select-ObjectName,PrincipalSource|Format-Table-AutoSize}else{Write-Host[] 未发现异常管理员账号-ForegroundColor Green}脚本只是初步排查要是真的发现异常立刻断网找专业的安全人员做应急响应别自己随便删文件容易破坏攻击证据。六、压缩工具长期安全加固指南这次漏洞暴露出一个普遍问题所有人都知道补系统漏洞、更新浏览器没人把压缩工具当安全重点。类似的漏洞以后肯定还会有光靠出事了临时打补丁没用得把这类基础工具的安全纳入日常运维。7-Zip本体安全配置优化花两分钟改几个设置能挡掉不少同类风险。第一个修改临时解压目录。默认7-Zip会把解压的临时文件放到系统Temp目录很多病毒就盯着这个目录放payload。你可以在「工具-选项-文件夹」里把临时文件路径改成RAM盘或者指定一个受控的独立目录设置关闭程序自动清空不留残留文件。第二个减少右键快捷解压选项。很多人右键直接点「解压到当前文件夹」刚好给路径遍历漏洞创造条件。在「工具-选项-7-Zip」里关掉多余的右键项只保留「提取到…」选项强制每次解压选择路径养成单独文件夹解压的习惯。就算压缩包里有恶意文件也不会乱跑覆盖系统文件。第三个对外发加密压缩包时勾选「加密文件名」。默认的7z加密只加密文件内容文件名是可见的。攻击者可以通过文件名判断内容针对性构造恶意文件。开启文件名加密后没密码连包里有什么都看不到能降低定向攻击概率。日常使用安全习惯别什么压缩包都双击来路不明的先校验哈希值。正规官网下载的资源一般都会提供SHA256值命令行里敲一行就能校验certutil -hashfile 文件名.7z SHA256算出来的值和官网给的对得上再解压对不上直接删除大概率被人篡改过。陌生压缩包不要直接在本机打开先上传到在线沙箱或者丢虚拟机里测试确认没有问题再解压到本地。尤其是后缀奇怪、大小异常的压缩包别抱着「看看是什么」的心态随便点。企业级安全体系建设企业层面要做的事更多核心是把压缩工具这类小软件纳入安全管理体系。首先建立终端软件基线。明确要求7-Zip、WinRAR这类解压软件的最低安全版本每季度做一次全量巡检版本不达标的直接强制升级。别觉得这事不重要很多内网渗透的突破口就是这么个没人管的小软件。然后做供应链组件梳理。把公司里所有业务系统、第三方软件里内嵌的开源组件都摸一遍尤其是压缩、解析、图片处理这类处理外部输入的库建立组件台账有漏洞第一时间跟进更新。很多公司只扫Web组件客户端组件根本不管这就是典型的安全盲区。还有边界防护加码。邮件网关、上网行为管理里加压缩包深度检测规则识别携带恶意构造的文件解析漏洞的压缩包直接在入口层拦截。终端EDR补充解压软件的行为规则一旦出现异常内存操作、创建子进程、写入系统目录的行为直接阻断并告警。最后是员工安全意识培训。别光讲大道理就明确说「陌生压缩包先杀毒再解压不要直接点解压到当前文件夹」比讲十页PPT有用。很多攻击能成功不是技术多高明就是员工随手一点。七、基础工具的安全困局与未来趋势这次7-Zip漏洞不是个例过去几年里WinRAR、WinZip都出过类似的文件解析漏洞而且一次比一次利用简单。攻击者的注意力早就从操作系统、浏览器这些重点防护目标转移到了这类小众基础工具上。杀毒软件、EDR会盯着浏览器、Office的异常行为但很少有人给解压软件做严格的行为管控。这类工具代码开源研究者容易挖漏洞用户更新意愿差漏洞存续时间长触发场景简单钓鱼成功率高。对攻击者来说性价比比打浏览器漏洞高多了。未来一两年这类基础工具的漏洞会越来越多地出现在公众视野里。不止压缩工具图片查看器、PDF阅读器、格式转换工具只要是处理外部不可信输入的软件都可能成为攻击突破口。对企业来说应对这种趋势的核心思路就是把安全管控的颗粒度做细。不要只盯着系统和核心业务软件那些装机量大、没人管的小工具反而最容易出问题。建立完整的软件资产清单不管是大软件还是小工具全纳入版本管理和漏洞巡检范围才能从根上降低这类风险。还有开源组件的安全问题。7-Zip是开源软件很多人觉得开源就安全其实恰恰相反。开源代码人人都能看攻击者也能看找漏洞更方便。而且多数开源项目的维护者很少安全审核能力有限很多漏洞藏了十几年都没人发现。企业用开源组件不能拿来就用得自己做安全审计或者跟进官方的安全公告及时打补丁。说回这次的漏洞其实官方修复得很及时比漏洞公开早了整整一个月。问题出在用户端绝大多数人根本不知道要更新也收不到更新提示。7-Zip没有自动更新机制全靠用户主动去官网下载新版本这也是开源免费软件的通病——没有商业动力做更新推送安全补丁的触达率极低。普通用户其实不用太焦虑只要看到这篇文章把自己电脑上的7-Zip更到最新版基本就没什么事了。真正该紧张的是企业的安全和运维团队赶紧扫一遍内网别等被人打进来了才补漏洞。最后说两句实在的。安全这件事很多时候就是补那些不起眼的短板。你花几万块买的防火墙可能栽在一个没人更新的压缩工具上。细节做不到位再厚的防线都有缝。你们公司内网的7-Zip做统一版本管理了吗有没有碰到过第三方软件内嵌旧版7z.dll的糟心情况欢迎在评论区聊聊你遇到的同类工具安全问题。
