Una vulnerabilidad recientemente revelada en 7-Zip ha sido explotada activamente, según un aviso emitido el martes por el NHS England Digital de Gran Bretaña.
La vulnerabilidad es CVE-2025-11001 (puntuación CVSS: 7.0), que permite a atacantes remotos ejecutar código arbitrario. El problema se solucionó en la versión 25.00 de 7-Zip lanzada en julio de 2025.
“La falla específica radica en el manejo de enlaces simbólicos en archivos ZIP. Los datos manipulados en un archivo ZIP pueden hacer que el proceso migre a directorios no deseados”, dijo la Iniciativa de Día Cero (ZDI) de Trend Micro en una alerta publicada el mes pasado. “Un atacante podría aprovechar esta vulnerabilidad para ejecutar código en el contexto de una cuenta de servicio”.
A Ryota Shiga de GMO Flatt Security Inc., junto con el auditor de AppSec basado en inteligencia artificial (IA) de la compañía, Takumi, se les atribuye el descubrimiento y el informe de la vulnerabilidad.
Vale la pena señalar que 7-Zip 25.00 también corrige otro error, CVE-2025-11002 (puntaje CVSS: 7.0), que permite la ejecución remota de código al explotar el manejo inadecuado de enlaces simbólicos en archivos ZIP, lo que resulta en cruces de directorios. Ambas fallas se introdujeron en la versión 21.02.
“Se ha observado una explotación activa de CVE-2025-11001 en la naturaleza”, dijo NHS England Digital. Sin embargo, actualmente no hay detalles disponibles sobre cómo, quién y en qué contexto se utiliza como arma.
Dado que existen exploits de prueba de concepto (PoC), es importante que los usuarios de 7-Zip actúen rápidamente y apliquen las correcciones necesarias lo antes posible, si no ya, para garantizar una protección óptima.
“Esta vulnerabilidad sólo puede explotarse en el contexto de una cuenta de usuario/servicio elevada o una máquina con el modo de desarrollador habilitado”, dijo el investigador de seguridad Dominik (también conocido como pacbypass), quien publicó la PoC, en una publicación que detalla la falla. “Esta vulnerabilidad sólo puede explotarse en Windows”.
About The Author
