Cualquiera que use 7-Zip para comprimir o descomprimir archivos en el ordenador debería prestar atención estos días, porque acaba de salir a la luz una vulnerabilidad seria que afecta al programa. Hablamos de uno de los compresores de código abierto más populares y utilizados desde hace años, y precisamente por eso el problema tiene su miga. El fallo permite a un atacante ejecutar código en el equipo si consigue que la víctima abra un archivo comprimido malicioso, así que conviene entender bien de qué va todo esto.
Qué es exactamente esta vulnerabilidad en 7-Zip
La brecha se ha catalogado como CVE-2026-14266 y tiene que ver con un desbordamiento de búfer al procesar datos en formato XZ fragmentados. Para quien no esté muy metido en tecnicismos, el asunto se puede resumir así: cuando 7-Zip maneja cierto tipo de datos comprimidos preparados de forma maliciosa, puede acabar escribiendo información fuera del espacio de memoria que le corresponde. Y esa corrupción de memoria es justo la puerta que un atacante necesita.
El formato XZ, por cierto, no es algo raro ni marginal. Se usa habitualmente en paquetes de software, en copias de seguridad y en un montón de contenidos que muchos usuarios abren sin pensárselo dos veces. La vulnerabilidad se hizo pública hace pocos días y afecta a buena parte de las instalaciones estables del programa, lo que amplía bastante el número de equipos potencialmente expuestos.
Según el aviso oficial, un archivo con datos especialmente diseñados puede provocar que la aplicación escriba fuera de los límites del búfer asignado. A partir de ahí, el atacante podría hacerse con el control de la ejecución del programa y correr código arbitrario dentro de 7-Zip y de sus contenidos. Dicho de otro modo, quien logre explotar esto podría meter mano donde no debería.
Link affiliatoCómo evitar riesgos si sigues usando 7-Zip
Hay un detalle que juega a favor de los usuarios, y es que la explotación no es automática. Para que el ataque funcione hace falta la interacción del usuario, es decir, la víctima tiene que abrir el archivo malicioso o acceder a un contenido controlado por el atacante. Normalmente esto llega a través de una página web trampa o de una descarga que parece de lo más normal.
Ese requisito reduce las posibilidades de un ataque masivo y automatizado, pero no elimina el peligro ni mucho menos. Sigue siendo un riesgo considerable en campañas de phishing dirigido, en distribución de malware y en operaciones de ingeniería social. Los ciberdelincuentes son expertos en disfrazar un fichero peligroso como si fuera algo legítimo. Puede presentarse como una actualización de software, como un paquete de documentos aparentemente inofensivo o como cualquier cosa que invite a hacer doble clic sin sospechar nada.
La prudencia, por tanto, es la mejor defensa. Desconfiar de archivos que llegan por vías poco fiables, no abrir comprimidos de remitentes desconocidos y mantener el programa actualizado son las medidas básicas para no caer en la trampa mientras se sigue usando 7-Zip en el día a día.
Fuente
Imagen: softzone.es
Link affiliato