A vulnerabilidade CVE-2026-48095 no 7-Zip, com pontuação CVSS 8.8, permite execução remota de código pela simples abertura de um arquivo compactado malicioso, sem exigir extração. A falha de heap overflow no parser de imagens NTFS afeta todas as versões até a 26.00 e tem correção na versão 26.01. O utilitário não dispõe de atualização automática: a distribuição precisa ser manual em cada estação Windows e servidor Linux. O risco mais grave, porém, está fora da interface gráfica: pipelines de CI/CD, ferramentas de backup e antivírus que incorporam bibliotecas do 7-Zip processam arquivos automaticamente, com privilégios elevados e sem interação humana.
Falha reside no parser NTFS
O problema está no módulo do 7-Zip que processa imagens de disco NTFS. A função que dimensiona o buffer da unidade de compressão NTFS usa um deslocamento de bits de 32 bits para calcular o tamanho necessário. Quando uma imagem NTFS forjada define um tamanho de cluster elevado e o atributo de dados comprimidos carrega CompressionUnit igual a 4, o expoente do deslocamento atinge 32. Esse valor ultrapassa a largura de um tipo de 32 bits em C++, o que é comportamento indefinido e faz o buffer de entrada ser alocado com apenas 1 byte. A leitura seguinte despeja até 256 MB de dados controlados pelo atacante nesse buffer de um único byte.
Superfície além da interface
O perigo real dessa falha não está no aplicativo gráfico de um usuário final, mas nos processos automatizados que manipulam arquivos compactados silenciosamente. Pipelines de integração e entrega contínua que invocam o binário 7z, mesmo apenas para listar o conteúdo de um pacote, estão expostos. Ferramentas de antivírus, soluções de backup e sistemas de análise de logs que escaneiam arquivos automaticamente operam com privilégios elevados e sem qualquer clique do usuário. A abrangência é ainda maior porque o 7-Zip identifica o tipo de arquivo pelos primeiros bytes, e não pela extensão. O mecanismo de detecção por assinatura testa todos os manipuladores disponíveis quando o manipulador da extensão falha, de modo que uma imagem NTFS maliciosa embutida num arquivo .7z, .zip ou .rar aciona a vulnerabilidade normalmente. Servidores Linux com o pacote p7zip desatualizado, confirmados em Ubuntu 24, Ubuntu 26 e RHEL 8, também estão no escopo, assim como imagens Docker com versões antigas do utilitário e softwares de terceiros que embutem bibliotecas do 7-Zip. Cada um desses pontos de ingestão processa arquivos recebidos de fontes externas sem verificar a integridade do conteúdo, ampliando a janela para atacantes que distribuem pacotes maliciosos por e-mail, transferências de arquivos ou repositórios comprometidos.
Cenários de exposição à falha
Em ambientes de automação, ferramentas que processam arquivos compactados com permissões elevadas representam o cenário de maior risco. Nesses cenários, a falha pode ser explorada sem qualquer ação do operador, o que configura um vetor de ataque de alta severidade para a infraestrutura corporativa. A tabela abaixo resume onde a falha pode ser acionada e o nível de interação exigido em cada caso:
| Cenário | Interação do usuário | Privilégio típico |
|---|---|---|
| Aplicativo gráfico Windows | Abrir arquivo | Usuário logado |
| Pipeline de CI/CD | Nenhuma | Serviço de build |
| Backup automatizado | Nenhuma | Administrador |
| Antivírus e análise de logs | Nenhuma | Sistema |
| p7zip em servidor Linux | Abrir ou listar | Serviço ou daemon |
| Imagem Docker legada | Nenhuma | Root no contêiner |
A combinação de processamento automático com privilégios elevados significa que um único arquivo malicioso em uma fila de ingestão pode comprometer o servidor, com impactos que incluem movimentação lateral e persistência no ambiente comprometido.
Mecanismo do heap overflow
A exploração bem-sucedida depende da arquitetura e da memória disponível no alvo. Em compilações de 32 bits, as alocações resultantes são minúsculas e o estouro do heap é alcançado de forma incondicional. Em compilações de 64 bits, o mesmo deslocamento indefinido faz o buffer de saída exigir uma alocação de 8 GB, que só é bem-sucedida em sistemas com pelo menos 16 GB de RAM. Em sistemas com pouca memória, a alocação pode falhar e o impacto se limita à negação de serviço. Quando essa alocação é confirmada, a execução prossegue até a leitura que estoura o heap no buffer de entrada de 1 byte. O corrompimento do heap permite o sequestro da vtable do objeto de stream. O objeto CInStream é alocado a apenas 304 bytes após o buffer de entrada no heap, de modo que os primeiros 64 KB escritos pelo atacante sobrescrevem o ponteiro da vtable. Na segunda iteração de leitura, o código despacha por uma vtable corrompida, um sequestro clássico que entrega o controle de execução ao atacante, já que ele controla os dados gravados na memória.
Correção exige distribuição manual
A correção está disponível na versão 26.01 do 7-Zip, lançada em 27 de abril de 2026. O problema existe desde que o suporte a streams comprimidos NTFS foi introduzido, e todas as versões até a 26.00 são afetadas. Não há registro de exploração ativa em campo até a data dos advisories, o que abre uma janela para que as equipes apliquem o patch antes que a falha vire arma nas mãos de grupos de ameaça. Diferente da maioria do software corporativo, o 7-Zip não tem mecanismo de atualização automática. Cada instalação precisa ser atualizada manualmente, com o pacote baixado diretamente do site oficial 7-zip.org e distribuído por ferramentas como SCCM, WSUS, Ansible ou gerenciadores de pacotes Linux. Inventários que não rastreiam especificamente a versão do 7-Zip em servidores, máquinas virtuais, imagens douradas e frotas de endpoints ignoram a exposição por completo. O mesmo padrão de risco em software ubíquo apareceu na falha CVE-2026-5027 no Langflow; a recorrência de bugs em bibliotecas de parsing, como as 21 falhas descobertas por IA no FFmpeg, mostra como componentes de amplo uso concentram superfície de ataque que poucas equipes monitoram de fato.
Passos para mitigar a exposição
A ausência de autoatualização exige uma resposta estruturada que não dependa do usuário final:
- Inventariar todas as instâncias de 7-Zip e p7zip, incluindo estações Windows, servidores Linux, pipelines, scripts, imagens Docker e softwares de terceiros com bibliotecas embutidas.
- Atualizar para a versão 26.01 ou superior em todas as máquinas identificadas, baixando apenas do site oficial 7-zip.org.
- Distribuir a correção por SCCM, WSUS, Ansible ou gerenciador de pacotes Linux.
- Monitorar o SIEM e os logs do sistema em busca de execuções anômalas do binário 7z ou p7zip, especialmente com escalada de privilégios ou em horários fora do padrão.
- Configurar proteção de endpoint para sinalizar pacotes compactados suspeitos, independentemente do status do patch.