【漏洞预警】7-Zip LZX解码器堆越界写漏洞可导致远程代码执行（CVE-2026-125742）

信通云服
信通云服

信通云服

2026年11月12日 17:35
海南

去阅读

【漏洞描述】

组件介绍

7-Zip是一款广泛使用的开源免费压缩解压工具，支持7z、ZIP、RAR、CAB等多种压缩格式，常用于办公终端、服务器及内网环境的文件压缩与解压。

漏洞简介

该漏洞源于程序解析分卷CAB压缩包时，未对窗口参数做有效校验，位置变量未重置，绕过边界检查，引发堆内存越界写入。攻击者可构造恶意分卷CAB压缩包，诱导受害者解压，能够在受害者的本地执行任意代码。

【影响范围】

受影响版本：

0 < 7-Zip ＜ 26.06

【修复建议】

将7-Zip升级至26.06及以上版本，该版本已修复堆越界写漏洞，可访问链接下载更新：https://www.7-zip.org/download.html

【参考链接】

https://nvd.nist.gov/vuln/detail/cve-2026-125742

https://potion-brew.pages.dev/posts/7zip-cab-lzx-window-desync-rce/