无需解压，看一眼就中招？

最近，咱们装机圈的老牌压缩工具 7-Zip 被曝出了一个危险系数极高的漏洞，CVE 评分高达惊人的 8.8 分。这是什么概念呢？攻击者只要给你发一个特制的压缩包（无论是常规的 .7z、.zip 还是 .rar 格式），你甚至不需要进行解压操作，仅仅是用 7-Zip 打开看一眼，攻击者就能在你的电脑上执行任意恶意代码！

其实，这个漏洞藏在 7-Zip 处理 NTFS 磁盘镜像的代码中。由于 7-Zip 并不依赖文件扩展名来判断文件类型，而是直接读取文件头的字节签名，所以攻击者可以在极度隐蔽的情况下，将恶意的 NTFS 镜像伪装成普通压缩包，从而绕过安全防线，利用缓冲区大小的校验缺陷实现“偷家”。

躲过偷家的门槛：内存不够？

有意思的是，这个听起来吓人的高危漏洞竟然有个极为“挑剔”的触发条件：目标机器的内存必须至少达到 16GB。

也就是说，如果你的电脑还在用着祖传的 8GB 内存，这次你反而“因祸得福”免疫了攻击。不过放眼现在，谁的主机或者游戏本不是 16GB 甚至 32GB 内存起步？这也意味着，绝大部分游戏玩家的个人 PC 都在这次漏洞的精准打击范围内。

波及数亿设备，全网只能靠自救

这个漏洞不仅在普通玩家们的桌面端大杀四方，它的影响范围甚至波及了整个科技与互联网圈：

  • 核心库深度捆绑：大量市面上的杀毒软件、系统备份工具、日志分析软件以及文件管理器都内置了 7-Zip 的核心库。这些程序往往拥有超高系统权限，可以在不需要用户干预的情况下自动扫描那些恶意压缩包，直接在后台中招。
  • 跨平台通杀：从 Windows 桌面到大量 Ubuntu、RHEL 等 Linux 服务器，甚至诸多 OEM 预装系统和 Docker 镜像都携带了受影响的版本。
  • 庞大的受害群体：保守估计，目前 7-Zip 官方及各个平台的下载及调用量已超过 4 亿次，受波及设备可能高达数亿台！

【编辑观察】 众所周知，7-Zip 最大的一项固执设定就是 没有自动更新机制。这就导致了此次漏洞无法通过后台静默修补，修复完全要靠用户主动寻找安装包覆盖老版本。各位虾玩社的小伙伴，只要你电脑里还在用这个神器，唯一且最彻底的解决方案就是：现在立刻手动去下载并升级至 26.01 最新版（此前所有版本均受影响）。别抱有侥幸心理，赶紧去升个级保平安吧！