Sicherheitslücke in 7-Zip: Angriffe auf Nutzer im Gange

Laut einer aktuellen Sicherheitsmeldung des britischen National Health Service (NHS) wird eine Sicherheitslücke im Archivierungsprogramm 7-Zip derzeit aktiv von Angreifern genutzt. Die Schwachstelle soll bereits im Juli 2025 durch ein Update behoben worden sein. Anwendern wird dringend empfohlen, die aktuelle Version der Software zu installieren.

Schwachstelle betrifft symbolische Links

Die Sicherheitslücke trägt die Kennung CVE-2025-11001 und betrifft die Verarbeitung symbolischer Links innerhalb von Zip-Archiven. Laut der Zero Day Initiative von Trend Micro soll es durch gezielte Manipulation solcher Archive möglich sein, Dateien in unerwünschte Verzeichnisse zu entpacken. Dies könnte Angreifern ermöglichen, eigenen Code im Kontext eines Dienstkontos auszuführen. Voraussetzung für einen erfolgreichen Angriff sei allerdings eine Interaktion durch den Nutzer.

Exploit öffentlich verfügbar

Ein Sicherheitsforscher veröffentlichte bereits ein Beispiel für die Ausnutzung der Schwachstelle. Dabei lasse sich etwa die Windows-Rechner-App in ein beliebiges Verzeichnis auf dem Zielsystem kopieren, sofern ein entsprechender Symlink im Archiv enthalten ist. Der dazugehörige Code sei öffentlich zugänglich, was die Gefahr für ungepatchte Systeme zusätzlich erhöht.

Betroffene Versionen und empfohlene Maßnahmen

Betroffen sind alle 7-Zip-Versionen von 21.02 bis einschließlich 24.09. Die Lücke wurde mit der Version 25.00 geschlossen, die am 5. Juli 2025 veröffentlicht wurde. Zusätzlich wurde eine zweite Schwachstelle (CVE-2025-11002) mit ähnlichem Hintergrund beseitigt. Die aktuelle Version 25.01 vom 3. August 2025 behebt zudem eine weitere, weniger kritische Sicherheitslücke.

Empfehlung zur Aktualisierung

Nutzer älterer 7-Zip-Versionen sollten die Software umgehend auf die aktuelle Version 25.01 aktualisieren, um sich vor möglichen Angriffen zu schützen.