Introducción a 7‑Zip y su relevancia en la seguridad
7‑Zip es un compresor y descompresor de archivos gratuito, de código abierto y ampliamente utilizado por su alto índice de compresión y su compatibilidad con numerosos formatos (ZIP, RAR, TAR, GZ, entre otros). Su popularidad lo convierte en un objetivo frecuente para investigadores de seguridad, que en los últimos meses han identificado varias vulnerabilidades que afectan a distintas versiones del software.
Vulnerabilidades recientes reportadas en 7‑Zip
A continuación se resumen las fallas más relevantes que han sido divulgadas públicamente y que están documentadas en fuentes oficiales de seguridad.
| Identificador | Tipo de falla | Descripción breve | Versión afectada |
|---|---|---|---|
| CVE‑2025‑11001 | Procesamiento de archivos | Fallo crítico que permite la manipulación indebida de archivos al abrir ciertos formatos comprimidos. | Anterior a 24.00 |
| CVE‑2025‑11002 | Recorrido de directorios | Vulnerabilidad que permite a un atacante escapar del directorio de destino mediante archivos especialmente diseñados. | Anterior a 24.00 |
| CVE‑2025‑53816 | Desbordamiento de búfer (heap‑based) | Se activa al procesar un archivo RAR5 malicioso y provoca una condición de denegación de servicio (DoS). | Anterior a 25.00 |
| CVE‑2026‑14266 | Ejecución remota de código | Permite a un atacante remoto ejecutar código arbitrario al procesar un archivo RAR5 manipulado. | Versiones sin parche (fecha de publicación pendiente de confirmación) |
Detalles de la vulnerabilidad CVE‑2025‑53816
En abril de 2025 el investigador Jaroslav Lobačevski, del GitHub Security Lab, informó de una vulnerabilidad en el manejador de archivos RAR5 de 7‑Zip, registrada como CVE‑2025‑53816. El problema es un desbordamiento de búfer en el montón (heap‑based buffer overflow) que se activa al procesar un archivo RAR5 especialmente diseñado.
Según el advisory oficial publicado en el NVD (NVD – CVE‑2025-53816) y confirmado por el desarrollador Igor Pavlov, la falla fue corregida en la versión 25.00, lanzada en julio de 2025. Todas las versiones anteriores a 25.00 permanecen expuestas.
La vulnerabilidad tiene una puntuación CVSS de 5.5 (severidad media). Su explotación provoca una Denegación de Servicio (DoS): el proceso de 7‑Zip se bloquea de forma abrupta, lo que puede interrumpir tareas en curso, dañar archivos temporales o forzar un reinicio inesperado si el compresor forma parte de un flujo automatizado. No permite ejecución remota de código por sí misma, pero el bloqueo puede ser usado como parte de una cadena de ataque más amplia.
Cómo verificar la versión instalada y actualizar 7‑Zip
7‑Zip no incluye un mecanismo de actualización automático por defecto en la versión clásica. La responsabilidad de mantener el programa actualizado recae en el usuario.
- Abrí 7‑Zip y seleccioná Ayuda → Acerca de.
- Verificá que el número de versión mostrado sea 25.00 o superior.
- Si necesitás actualizar, descargá el instalador desde el sitio oficial: https://www.7-zip.org/. Evitá fuentes no oficiales para reducir el riesgo de manipulación.
Precauciones adicionales frente a archivos RAR5
Mientras se espera la actualización, se recomienda extremar la precaución con archivos RAR5 recibidos de remitentes desconocidos o no verificados:
- Escaneá los archivos con tu antivirus antes de abrirlos.
- Si es posible, descomprimí en un entorno aislado o máquina virtual.
- En entornos empresariales, considerá restringir el uso del formato RAR5 hasta que todos los equipos estén actualizados y empleá soluciones de análisis de archivos en puntos de entrada (gateways de correo, servidores de descarga, etc.).
Buenas prácticas de mantenimiento
Mantener 7‑Zip actualizado no solo mitiga las vulnerabilidad específicas mencionadas, sino que también incorpora mejoras de rendimiento y correcciones de errores menores. Se sugiere:
- Revisar periódicamente el sitio oficial de 7‑Zip para estar al tanto de nuevas versiones.
- Suscribirse a listas de correo o feeds de seguridad que anuncien vulnerabilidades en software de compresión.
- Documentar el número de versión instalado en cada equipo y establecer un proceso de verificación mensual.
Conclusión
Las vulnerabilidades descubiertas en 7‑Zip, particularmente CVE‑2025‑53816, destacan la importancia de mantener el software de compresión al día y de aplicar medidas de precaución al manejar archivos de origen desconocido. Actualizar a la versión 25.00 o posterior elimina el riesgo específico asociado a CVE‑2025‑53816 y reduce la exposición a otras fallas reportadas recientemente. Siguiendo las prácticas descritas, usuarios y administradores pueden continuar aprovechando las ventajas de 7‑Zip sin comprometer la seguridad de sus sistemas.