7-Zipが重大なXZ脆弱性を修正

単なるアーカイブファイルが、簡単に悪質なハッキングツールに変わってしまうことがあります。幸い、7-Zipの開発元がバージョン26.02をリリースし、XZファイル処理に存在した重大な欠陥を修正しました。実際の攻撃では、攻撃者が被害者のアカウント権限を悪用して不正なコードを実行できる恐れがありました。

メモリバッファオーバーフローのリスク

この深刻な問題を最初に発見したのは、Lunbun出身の優秀なセキュリティ研究者Landon Pan氏です。ZDI-26-444の正式な報告書によると、細工されたXZデータが原因で深刻なメモリバッファオーバーフローが発生していました。この攻撃を実行するには、攻撃者は被害者を騙して細工済みのアーカイブを開かせるだけで済みました。また、この欠陥のあるファイルを読み込む改ざんされたWebページを訪問しただけでも、罠が作動する可能性がありました。

現時点で、7-Zipの開発元はこの特定の脆弱性に関する詳細な技術解説を公表していません。しかし、バージョン26.02におけるコアコードの変更内容を確認すると、明確な手がかりが見えてきます。この不具合は、XZデータの読み込み時に出力バッファ内の空き容量を誤って計算していたことに起因していたことは明らかです。その結果として、修正版のツールは残りのメモリサイズを厳密にチェックするようになりました。これにより、安全なメモリ領域外への不正なデータ書き込みを完全に防止しています。

手動での更新が必要

7-Zipに自動更新機能が備わっていないことは、非常にリスクの高い状況を生み出しています。この有名なアプリケーションは、この重要なパッチを自動的にはインストールしません。また、ユーザーが脅威について警告を受け取ることすら保証されていません。そのため、ユーザーは7-zip.orgの公式サイトから直接新しいバージョンをダウンロードし、既存の環境に上書きインストールする必要があります。

アーカイブツールを狙うフィッシングキャンペーン

予想通り、攻撃者は主要な圧縮ツールの脆弱性をメールを使った詐欺で悪用することがよくあります。攻撃者は通常の請求書、履歴書、あるいは一般的な業務ファイルに偽装した不正なアーカイブを送りつけることがよくあります。この手口の後、被害者のコンピューターに気づかれないよう有害なマルウェアを密かに仕込みます。

同様の危険な事例は、これまでにも確実に発生しています。2026年初め、当時未知だった7-Zipの脆弱性が、重要なWindowsの「Mark of the Web」安全タグを回避する手口に悪用されました。このタグは通常、オンラインで取得したファイルに潜む危険性についてユーザーに警告する役割を果たします。その後、攻撃者はWinRARの既知の脆弱性を積極的に悪用し、偽の詐欺メールを通じてRomComウイルスを拡散させました。

早急な対応を推奨

現時点で、セキュリティ団体はこの新たな7-Zipの脆弱性を悪用した実際の攻撃を確認していません。それでも専門家は、すべてのユーザーに対し、直ちにバージョン26.02へ移行するよう強く勧告しています。特に、メールやチャットアプリ、その他の外部ソースから受け取ったファイルを開く際に日常的にこのアプリを使用している場合、この助言は非常に重要な意味を持ちます。