ファイルの圧縮・解凍ソフト「7-Zip」の旧バージョンでは、任意のコード実行につながる脆弱性や、Windows の Mark-of-the-Web（MOTW）が正しく保持されない脆弱性などが複数確認されています。
2026年9月3日には 7-Zip 26.03 が公開され、細工されたアーカイブを展開した際に Mark-of-the-Web を正しく保持できない CVE-2026-58052 が修正されました。
また、1つ前の 26.02 では、XZ 圧縮データの展開処理に存在したヒープベースのバッファーオーバーフローによって、任意のコードを実行される可能性がある CVE-2026-14266 が修正されています。
現在使用している 7-Zip のバージョンを確認し、古い場合は最新バージョンの 26.03 へアップデートしてください。
以下では、これまでに確認された主な脆弱性と対策を紹介します。
CVE-2026-58052（Mark-of-the-Web が正しく保持されない脆弱性）
2026年9月3日に公開された 7-Zip 26.03 では、CVE-2026-58052 が修正されました。
この脆弱性は、Windows 版 7-Zip で細工された RAR5 アーカイブを展開した際に、インターネットから取得したファイルであることを示す Mark-of-the-Web（MOTW） が正しく保持されない可能性がある問題です。
Mark-of-the-Web は、Windows がインターネットなど信頼性の低い場所から取得したファイルを識別するために使用する情報です。Windows で表示される「Windows によって保護されました」などの警告については、次の記事も参考にしてください。
通常は、この情報をもとに Windows や Microsoft Defender SmartScreen などが警告や保護処理を行います。
しかし CVE-2026-58052 では、細工された RAR5 アーカイブに含まれる代替データストリームを利用することで、展開先ファイルの Zone.Identifier が上書きされ、インターネット由来であることを示す情報を失わせることが可能でした。
これにより、SmartScreen や MOTW を利用する一部の警告を回避できる可能性があります。
ただし、この脆弱性そのものが、アーカイブを展開しただけで自動的に任意のコードを実行するものではありません。
CVSS 3.1 では 3.3（Low）、CVSS 4.0 では 4.8（Medium） と評価されています。
- 影響を受けるバージョン： 7-Zip 26.02 までの Windows 版
- 対策： 7-Zip 26.03 以降へアップデート
なお、一部の CVE 情報では影響範囲が 26.01 までと記載されていますが、7-Zip 側では 26.03 の変更履歴で CVE-2026-58052 の修正を明記しています。安全性を優先する場合は、26.02 を使用している場合も 26.03 へ更新してください。
CVE-2026-14266（XZ 展開時の任意コード実行の脆弱性）
7-Zip 26.02 では、XZ 圧縮データの展開処理に存在した CVE-2026-14266 が修正されています。
この脆弱性は、細工された XZ 圧縮データを処理した際に、ヒープベースのバッファーオーバーフローが発生する可能性がある問題です。
攻撃者が細工したファイルをユーザーに開かせることができた場合、7-Zip のプロセス上で任意のコードを実行される可能性があります。
Zero Day Initiative（ZDI）では、この脆弱性を CVSS 7.0 と評価しています。
攻撃を成立させるには、ユーザーが悪意のあるファイルを開く、または悪意のある Web ページを利用するなどの操作が必要ですが、コード実行につながる可能性があるため注意が必要です。
- 影響を受けるバージョン： 7-Zip 26.01 以前
- 対策： 7-Zip 26.02 以降へアップデート
現在は 26.03 が公開されているため、26.02 ではなく最新の 26.03 へ更新することをおすすめします。
CVE-2026-48095（ヒープバッファーオーバーフロー）
CVE-2026-48095 は、7-Zip の NTFS アーカイブハンドラーに存在したヒープバッファーオーバーフローの脆弱性です。
悪意のある攻撃者が細工した NTFS イメージファイルをユーザーに開かせたり、アーカイブの解凍やテストを実行させたりすることで、バッファーオーバーフローが発生する可能性があります。
これにより、任意のコードが実行されたり、7-Zip がクラッシュしたりする恐れがあります。
- 影響を受けるバージョン： 7-Zip 26.00 まで
- 対策： 7-Zip 26.01 以降へアップデート
現在は 26.03 が最新であるため、古いバージョンを使用している場合は 26.03 へ更新してください。
CVE-2025-0411（MOTW 回避の脆弱性）
CVE-2025-0411 は、7-Zip でアーカイブを展開した際に、Windows のセキュリティ機能である Mark-of-the-Web（MOTW） が展開後のファイルへ正しく引き継がれない脆弱性です。
通常、インターネットなどからダウンロードしたファイルには MOTW が付与され、Windows はその情報をもとに警告や保護処理を行います。
しかし、この脆弱性を悪用したアーカイブを展開すると、展開されたファイルに MOTW が引き継がれない場合があります。
その結果、本来表示されるはずの警告を回避して、悪意のあるファイルをユーザーに実行させることが可能になります。
CVE-2025-0411 は CVSS 7.0（High） と評価されています。
- 影響を受けるバージョン： 7-Zip 24.08 まで
- 対策： 7-Zip 24.09 以降へアップデート
なお、今回 26.03 で修正された CVE-2026-58052 も MOTW に関係する脆弱性ですが、原因となる処理や悪用方法は異なります。
CVE-2024-11477（任意のコード実行の脆弱性）
CVE-2024-11477 は、7-Zip の Zstandard 展開処理に存在した脆弱性です。
悪意のある攻撃者が細工したアーカイブファイルを作成し、ユーザーにそのファイルを開かせることで、整数アンダーフローが発生し、メモリーへの不正な書き込みにつながる可能性があります。
悪用された場合、現在実行している 7-Zip のプロセス上で任意のコードを実行される恐れがあります。
Zero Day Initiative では CVSS 7.8 と評価しています。
- 影響を受けるバージョン： 7-Zip 24.06 まで
- 対策： 7-Zip 24.07 以降へアップデート
現在はさらに新しい脆弱性も修正されているため、24.07 や 24.09 へ更新するのではなく、最新バージョンを使用してください。
7-Zip のバージョンの確認方法
※既に 7-zip をインストールしている場合
1.スタートボタンをクリックし、検索バーに「7-zip」と入力し、検索結果に表示された「7-zip File Manager」をクリックします。
2.メニューの「ヘルプ」＞「バージョン情報」をクリックします。
3.「7-zip について」が表示されますので、ロゴの下のバージョンを確認してください。
たとえば「7-Zip 23.01」と表示されている場合は、現在の最新版より大幅に古いため、アップデートが必要です。
7-Zip の最新バージョンについて
2026年9月5日の記事執筆時点で、最新バージョンは 7-Zip 26.03 です。
7-Zip 26.03 は 2026年9月3日に公開され、CVE-2026-58052 の修正などが含まれています。
記事執筆時点では、日本語ページの 7-zip.opensource.jp には 7-Zip 26.03 が掲載されていません。
そのため、7-Zip 26.03 をダウンロードする場合は、7-Zip 公式のダウンロードページから入手してください。
7-Zip 公式ダウンロードページ
https://www.7-zip.org/download.html
このページでは、Windows 向けの x64、x86、ARM64 など、環境に応じた最新のインストーラーを選択できます。
古いバージョンを使用している場合は、使用している Windows の環境に合ったインストーラーをダウンロードし、最新版へ更新してください。
7-Zip は自動でアップデートされない
7-Zip には、新しいバージョンが公開された際に自動的に最新版へ更新する機能がありません。
そのため、重大な脆弱性が修正されても、ユーザー自身が新しいバージョンの公開に気付かなければ、古い 7-Zip をそのまま使い続けてしまう可能性があります。
今回のように、26.01、26.02、26.03 と短期間に複数のセキュリティ修正が行われることもあります。
アーカイブファイルは、Web サイトやメール、ファイル共有サービスなどから受け取る機会が多いため、7-Zip は定期的に最新版が公開されていないか確認することをおすすめします。
7-Zip の更新チェックを自動化する方法
毎回 7-Zip の公式サイトを確認するのが面倒な場合は、当サイトで公開している「7-zip_UpdateCheck」を利用できます。
このツールは 7-Zip の新しいバージョンが公開されていないかを確認し、アップデートの有無を知らせるためのツールです。
7-Zip 自体には自動更新機能がないため、更新を忘れずに確認したい場合に利用できます。
コメント