Olağanüstü popülaritesi nedeniyle 7-Zip, hem siber suçluların hem de güvenlik araştırmacılarının sık sık hedef aldığı bir yazılımdır; her ikisi de istismar edilecek yeni güvenlik açıkları arar. Neyse ki kullanıcılar ve meşgul sistem yöneticileri için, geliştiricileri genellikle hızlı yanıt verir ve sorunlar ortaya çıktıktan kısa süre sonra yamalı sürümler yayınlar.
Araştırmacılar, açık kaynaklı dosya arşivleme programında yeni bir güvenlik açığı keşfetti. Hata, XZ verileri için sıkıştırmayı açma işleminde yatıyor; burada bir arabellek taşması, saldırganların uzaktan kötü amaçlı kod çalıştırmasına olanak sağlayabilir. Bir yama zaten yayınlandı , ancak 7-Zip'in hala yerleşik bir otomatik güncelleme mekanizması yok; kullanıcıların yeni sürümü kendileri manuel olarak yüklemeleri gerekiyor.
Trend Micro'nun Zero Day Initiative'inden yapılan bir açıklamaya göre, CVE-2026-14266 olarak izlenen güvenlik açığı , yığın tabanlı bir arabellek taşmasıdır. XZ sıkıştırılmış veri akışları içeren özel olarak hazırlanmış bir arşiv, taşmayı tetikleyerek saldırganlara kötü amaçlı kod çalıştırma yolu sağlayabilir.
Tek yapmanız gereken kötü amaçlı bir web sayfasını ziyaret etmek veya tuzaklı bir arşivi açmak; bundan sonra kod, oturum açmış kullanıcının sahip olduğu ayrıcalıklarla çalışır.
Sorun, Haziran ayı başlarında Lunbun araştırmacısı Landon Peng tarafından 7-Zip'e bildirildi. 7-Zip ekibi birkaç hafta içinde 26.02 sürümünü yayınlayarak açığı kapattı; ancak teknik detaylar, ZDI'nin Temmuz ortasında yayınladığı uyarı ile kamuoyuna açıklandı.
7-Zip, Windows, Linux, macOS ve BSD dahil olmak üzere çok çeşitli platformlarda çalışır; bu nedenle bu tür bir güvenlik açığı, geleneksel Windows kurulum tabanının çok ötesine ulaşabilir.
7-Zip, olabildiğince hafif kalacak şekilde tasarlanmıştır; bu da otomatik güncelleme altyapısının olmamasının nedenlerinden biridir. .xz formatı , 7-Zip geliştiricisi Igor Pavlov tarafından oluşturulan LZMA sıkıştırma algoritmasının bir evrimi olarak tasarlanmış, sıkıştırılmış veri akışları için bir kapsayıcıdır.
7-Zip, komut satırı araçları ve kütüphaneleri sayesinde birden fazla arşiv formatına destek sağlamanın kolay (ve ücretsiz) bir yolunu sunması nedeniyle hem tüketici hem de sunucu sistemlerinde yaygın olarak kullanılmaktadır. Bu popülerlik, onu bu kadar cazip bir hedef haline getiren şeydir. Tek bir yamalanmamış hata, güncellemeler manuel olarak ve hızlı bir şekilde uygulanmazsa sistemik bir probleme dönüşebilir .
7-Zip bu konuda yalnız değil: büyük dosya arşivleme araçları giderek daha karmaşık güvenlik tehditleriyle karşı karşıya kalıyor. Hatta aynı derecede yaygın olarak kullanılan tescilli bir arşivleme programı olan WinRAR bile , kullanıcı verilerini bozabilecek veya sistem güvenliğini alt üst edebilecek güvenlik açıklarından defalarca etkilendi.
Kaynak :
https://www.techspot.com/news/113175-7- ... ening.html
