O 7-Zip, compactador de arquivos presente em milhões de máquinas, possui uma vulnerabilidade crítica identificada como CVE-2026-48095 com pontuação CVSS 8,8 que permite a execução remota de código quando o usuário apenas abre um arquivo compactado malicioso. A falha está no manipulador de imagens NTFS e afeta todas as versões do 7-Zip até a 26.00, em Windows, Linux (p7zip) e macOS. A correção está disponível desde 27 de abril de 2026, mas o 7-Zip não possui atualização automática, o que pode deixar milhões de instalações desprotegidas. Saber priorizar correções de segurança faz a diferença diante de uma falha desse tipo.

Como a falha funciona

A vulnerabilidade reside no manipulador NTFS do 7-Zip, na função interna que calcula o tamanho do buffer de descompressão de fluxos comprimidos. Essa função usa uma operação de deslocamento de bits de 32 bits, e quando o atacante configura o tamanho do cluster para 28 e a unidade de compressão para 4, o expoente do deslocamento chega a 32 — comportamento indefinido em C++ que faz o sistema alocar o buffer de leitura com apenas 1 byte em vez do tamanho correto. Em x86 e x64, esse comportamento indefinido provoca a subalocação do buffer de entrada de dados comprimidos.

Imediatamente após a alocação, a rotina de leitura grava até 256 MB de dados controlados pelo invasor nesse buffer de 1 byte, provocando um estouro de heap. Em sistemas de 64 bits, a alocação do buffer de saída chega a 8 GB e só é bem-sucedida em máquinas com pelo menos 16 GB de RAM. O objeto de fluxo é alocado a 304 bytes do buffer na memória, então a primeira leitura corrompe o ponteiro da vtable do objeto, e a segunda leitura despacha a execução por meio da vtable comprometida — um sequestro que viabiliza a execução de código arbitrário sem extração do arquivo.

Por que qualquer extensão é perigosa

O 7-Zip identifica o tipo de arquivo pelos primeiros bytes do conteúdo, não pela extensão. O manipulador NTFS corresponde à assinatura NTFS no terceiro byte do arquivo, e quando o manipulador esperado para a extensão do arquivo falha ao abri-lo, o 7-Zip tenta todos os demais manipuladores em ordem de prioridade de assinatura. Por isso, uma imagem NTFS maliciosa embutida em um arquivo com extensão .7z, .zip ou .rar é processada pelo manipulador NTFS da mesma forma que um arquivo legítimo.

Essa característica amplia a superfície de ataque de modo considerável. Um anexo de e-mail com aparência inofensiva pode conter uma imagem NTFS forjada que aciona a falha assim que a vítima abre o arquivo no 7-Zip, sem necessidade de extrair o conteúdo. Apenas a abertura do arquivo compactado dispara o processamento e o estouro de heap subsequente, o que torna o envio de arquivos por phishing um vetor particularmente atraente para essa vulnerabilidade. Entender os vetores de ataque é parte fundamental da proteção.

Impacto em automação e servidores

O risco extrapola estações de trabalho. Pipelines de CI/CD, ferramentas de backup automatizado, soluções de antivírus e softwares de análise de logs que processam arquivos compactados com privilégios elevados estão igualmente expostos. O Centro de Incidentes de Segurança e Cibersegurança do governo brasileiro alertou que servidores Linux com o pacote p7zip desatualizado são vulneráveis, com versões afetadas confirmadas no Ubuntu 24, Ubuntu 26 e RHEL 8, além de imagens Docker com 7-Zip antigo embarcado.

Em ambientes automatizados onde ferramentas processam arquivos sem interação humana, a exploração pode ocorrer de forma silenciosa e com privilégios elevados, configurando um vetor de alta severidade. Os impactos incluem comprometimento de pipelines de desenvolvimento, acesso não autorizado a dados processados por ferramentas de backup e movimentação lateral dentro do ambiente comprometido, com possibilidade de persistência de longo prazo no sistema invadido.

Correção e mitigação

A correção foi implementada na versão 26.01 do 7-Zip, lançada em 27 de abril de 2026, apenas três dias após o reporte privado feito pelo pesquisador Jaroslav Lobačevski, do GitHub Security Lab, em 24 de abril de 2026. O NVD publicou os detalhes do CVE em 5 de junho de 2026 com pontuação CVSS base 8,8, classificada como alta severidade. A pontuação EPSS, que estima a probabilidade de exploração em 30 dias, registrava 0,05% em meados de julho de 2026, e até a data do alerta oficial do governo brasileiro não havia exploração confirmada na natureza.

Como o 7-Zip não possui mecanismo de atualização automática, a distribuição do patch deve ser feita via SCCM, WSUS, Ansible ou gerenciadores de pacotes Linux como apt, yum e dnf. O inventário de ativos precisa incluir imagens Docker e bibliotecas de terceiros que embutem o 7-Zip internamente. A gestão de patches conhecidos é o que separa a correção oportuna da exposição prolongada.

Checklist de resposta imediata

As recomendações oficiais do governo brasileiro incluem o levantamento de todas as instâncias do 7-Zip, a atualização imediata para a versão 26.01 e o monitoramento do SIEM em busca de execuções anômalas do binário 7z ou p7zip. O roteiro abaixo organiza essas etapas com prazos sugeridos:

Etapa Ação Prazo
1 Inventariar instâncias de 7-Zip e p7zip Imediato
2 Atualizar para versão 26.01 ou superior Imediato
3 Distribuir patch via ferramenta de gestão 72 horas
4 Monitorar SIEM por execuções anômalas Contínuo

A existência de um gerador de prova de conceito público, divulgado junto ao advisory do GitHub Security Lab, aumenta a probabilidade de uso da falha em campanhas futuras. Equipamentos com 16 GB ou mais de RAM estão particularmente suscetíveis, pois atendem ao requisito de memória para a exploração em sistemas de 64 bits, condição comum em máquinas corporativas e pessoais modernas.

Fontes