Se você ainda não atualizou seu 7-Zip, está literalmente oferecendo as chaves da sua máquina para qualquer atacante com um ZIP bem montado. Recentemente, pesquisadores de segurança divulgaram duas vulnerabilidades graves no popular utilitário de compressão, que permitem que um arquivo aparentemente inocente execute código malicioso com privilégios elevados no seu sistema.
O problema está na forma como o 7-Zip lida com links simbólicos dentro de arquivos ZIP. Em vez de respeitar os limites da pasta de extração, a ferramenta permite que esses links escapem da estrutura original e atinjam diretórios protegidos, como o System32 do Windows.
Em um cenário real, isso significa que ao descompactar um arquivo infectado, o 7-Zip pode acabar jogando um DLL malicioso dentro da pasta mais sensível do seu sistema, pronta para ser executada.
As falhas foram oficialmente registradas como CVE-2025-11002 e CVE-2025-11001, com pontuação CVSS de 7.0 um alerta vermelho na escala de riscos. O mais perigoso? O ataque exige interação mínima do usuário e nenhum privilégio administrativo. Basta abrir ou extrair o arquivo errado no ambiente vulnerável para o problema acontecer.
Como o ataque realmente acontece?
Imagine um ZIP com um arquivo que parece legítimo, mas na verdade contém um link simbólico apontando para uma pasta fora do diretório de extração. Ao ser descompactado, esse link força o sistema a colocar o arquivo malicioso em outro local como o diretório de sistema do Windows.
A partir daí, basta que algum serviço carregue esse DLL para que o código malicioso ganhe vida. E sim, há cenários em que isso acontece de forma automática, como em backups ou tarefas agendadas.
Não estamos falando de um ataque teórico. Já existe prova de conceito demonstrando essa técnica, e ela funciona especialmente bem em ambientes onde arquivos ZIP são tratados por sistemas automatizados.
Empresas que usam scripts, rotinas de integração contínua ou ferramentas que manipulam grandes volumes de arquivos estão especialmente expostas.
O que mudou com a nova versão do 7-Zip?
A versão 25.00 do 7-Zip, lançada no início de outubro de 2025, resolveu o problema com duas medidas principais: bloqueio de links simbólicos que escapam do diretório alvo e reforço no processo de verificação de caminhos internos.
Em outras palavras, o software agora entende melhor o que está dentro e o que está tentando escapar da pasta de extração, e impede que arquivos cheguem a onde não deveriam.
Essas mudanças foram implementadas depois que os pesquisadores relataram os problemas ao desenvolvedor no início de maio. Desde então, uma atualização coordenada foi preparada para que os usuários e administradores pudessem se proteger antes que o ataque começasse a circular em larga escala.
Quem deve se preocupar?
Na prática, qualquer pessoa que use o 7-Zip e especialmente quem integra o software em processos automáticos está em risco.
Sistemas que fazem extração de arquivos sem supervisão humana são alvos perfeitos para esse tipo de exploração, porque não questionam os caminhos dentro do ZIP nem validam onde os arquivos realmente estão sendo colocados.
Se você administra servidores, lida com backups, scripts ou integrações que processam arquivos ZIP de fontes externas, a atualização é urgente. E não estamos falando só de desktops pessoais: ambientes corporativos e estruturas críticas podem ser comprometidos com um simples clique em “Extrair aqui”.
Como identificar se sua máquina foi alvo?
Em um ataque bem-sucedido, o invasor pode deixar rastros sutis, como arquivos inesperados aparecendo em diretórios protegidos ou registros de execução de DLLs desconhecidos.
É importante revisar logs, especialmente em servidores, e observar qualquer ZIP que tenha nomes de arquivos com caminhos suspeitos, cheios de ../ tentando escapar da pasta de destino.
Mesmo que não tenha havido um ataque detectado até agora, a existência dessas brechas já é motivo suficiente para reforçar o monitoramento. E claro: atualizar para a versão mais recente do 7-Zip é a medida mínima aceitável neste momento.
A moral da história
O 7-Zip sempre foi visto como uma ferramenta leve, confiável e segura. Mas como qualquer software amplamente utilizado, ele também vira alvo quando falhas são descobertas. O que essa situação mostra é que não existe software pequeno demais para causar um grande estrago.
E você? Ainda está descompactando arquivos com uma versão antiga do 7-Zip?
