7-Zip: Mehrere Schwachstellen ermöglichen Ausführen von beliebigem Programmcode mit den Rechten des Dienstes
WID-SEC-2025-2261 · erstmals 13.10.2025 · aktualisiert 12.05.2026 · CVSS 7,0
Worum es geht
7-Zip ist ein Extraktionsdienstprogramm für Archive, die im ZIP-Format komprimiert sind. Ein Angreifer kann mehrere Schwachstellen in 7-Zip ausnutzen, um beliebigen Programmcode mit den Rechten des Dienstes auszuführen.
Unter welchen Bedingungen?
Das BSI nennt keine besonderen Voraussetzungen.
Was schlimmstenfalls passieren kann
Ein Angreifer könnte die Lücke nutzen, um
- beliebigen Programmcode mit den Rechten des Dienstes auszuführen
Bin ich betroffen?
Betroffen sind laut BSI:
- Debian Linux
- Fedora Linux
- NetApp ActiveIQ Unified Manager for Microsoft Windows
- Open Source 7-Zip <25.00
- ABB 800xA <=7.0
Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.
Was hilft?
Aktualisieren auf mindestens:
- Open Source 7-Zip 25.00
- ABB 800xA <=7.0
Wird die Lücke schon ausgenutzt?
Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.
Informationen und Quellen
- Originalmeldung des BSI (WID)
- ZDI Advisory vom 2025-10-12 www.zerodayinitiative.com
- ZDI Advisory vom 2025-10-12 www.zerodayinitiative.com
- PoC auf GitHub vom 2025-10-19 pacbypass.github.io
- NHS Digital Cyber Alert vom 2025-11-19 digital.nhs.uk
- Fedora Security Advisory FEDORA-2025-B5A4903EA0 vom 2025-11-26 bodhi.fedoraproject.org
- Fedora Security Advisory FEDORA-2025-B6422D64F9 vom 2025-11-26 bodhi.fedoraproject.org
- Fedora Security Advisory FEDORA-EPEL-2025-0A81D38451 vom 2025-11-26 bodhi.fedoraproject.org
- Fedora Security Advisory FEDORA-EPEL-2025-2BED30C65F vom 2025-11-26 bodhi.fedoraproject.org
- NetApp Security Advisory NTAP-20260213-0012 vom 2026-02-13 security.netapp.com
- ABB Cyber Security Advisory vom 2026-03-31 search.abb.com
- Debian Security Advisory DLA-4576 vom 2026-05-11 lists.debian.org
CVE: CVE-2025-11001, CVE-2025-11002
Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA. Die Einordnung der Bedingungen ist meine Lesart des BSI-Textes; die Fremdseiten sind in ihrer Originalsprache.