7-Zip: Mehrere Schwachstellen ermöglichen Ausführen von beliebigem Programmcode mit den Rechten des Dienstes
WID-SEC-2025-2261 · primera publicación 13.10.2025 · actualizado 12.05.2026 · CVSS 7,0
De qué se trata
7-Zip ist ein Extraktionsdienstprogramm für Archive, die im ZIP-Format komprimiert sind. Ein Angreifer kann mehrere Schwachstellen in 7-Zip ausnutzen, um beliebigen Programmcode mit den Rechten des Dienstes auszuführen.
¿En qué condiciones?
El BSI no indica requisitos especiales.
Lo que puede pasar en el peor de los casos
Un atacante podría aprovechar la vulnerabilidad para
- beliebigen Programmcode mit den Rechten des Dienstes auszuführen
¿Me afecta?
Afectados según el BSI:
- Debian Linux
- Fedora Linux
- NetApp ActiveIQ Unified Manager for Microsoft Windows
- Open Source 7-Zip <25.00
- ABB 800xA <=7.0
La versión instalada suele aparecer en «Ayuda → Acerca de» o en la interfaz de administración del dispositivo.
¿Qué ayuda?
Actualizar como mínimo a:
- Open Source 7-Zip 25.00
- ABB 800xA <=7.0
¿Se está explotando ya la vulnerabilidad?
Ninguna de las CVE figura en el catálogo de la CISA de vulnerabilidades explotadas. No significa que no haya ataques, solo que no hay ninguno documentado.
Información y fuentes
- Aviso original del BSI (WID)
- ZDI Advisory vom 2025-10-12 www.zerodayinitiative.com
- ZDI Advisory vom 2025-10-12 www.zerodayinitiative.com
- PoC auf GitHub vom 2025-10-19 pacbypass.github.io
- NHS Digital Cyber Alert vom 2025-11-19 digital.nhs.uk
- Fedora Security Advisory FEDORA-2025-B5A4903EA0 vom 2025-11-26 bodhi.fedoraproject.org
- Fedora Security Advisory FEDORA-2025-B6422D64F9 vom 2025-11-26 bodhi.fedoraproject.org
- Fedora Security Advisory FEDORA-EPEL-2025-0A81D38451 vom 2025-11-26 bodhi.fedoraproject.org
- Fedora Security Advisory FEDORA-EPEL-2025-2BED30C65F vom 2025-11-26 bodhi.fedoraproject.org
- NetApp Security Advisory NTAP-20260213-0012 vom 2026-02-13 security.netapp.com
- ABB Cyber Security Advisory vom 2026-03-31 search.abb.com
- Debian Security Advisory DLA-4576 vom 2026-05-11 lists.debian.org
CVE: CVE-2025-11001, CVE-2025-11002
Fuente: BSI, servicio de alertas e información (CERT-Bund); CISA. La valoración de las condiciones es mi lectura del texto del BSI; las páginas externas están en su idioma original.