Fix 7-Zip dicht gaten die aanvallers malware op afstand lieten uitvoeren

De huidige versie van compressietool 7-Zip dicht twee kwetsbaarheden waarmee kwaadwillenden op afstand malware konden uitvoeren op pc's van gebruikers. Speciaal aangemaakte zipbestanden gaven aanvallers een ingang.

Deze kwetsbaarheden zijn in mei dit jaar verantwoord gemeld bij de makers van 7-Zip. In juli is versie 25.00 uitgebracht, die deze beveiligingsproblemen verhelpt, en nu volgt de gecoördineerde openbaarmaking van deze kwestie. Details over CVE-2025-11001 en CVE-2025-11002 zijn nu nog niet onthuld en worden ook niet genoemd in de changelog voor versies van 7-Zip.

Het Zero Day Initiative (ZDI) van securityleverancier Trend Micro meldt nu wel dat het gaat om kwetsbaarheden met een score van 7,0 op de schaal van het Common Vulnerability Scoring System (CVSS). Beide kwetsbaarheden geven aanvallers de mogelijkheid om via een speciaal aangemaakt zipbestand eigen code uit te voeren op computers met een kwetsbare versie van 7-Zip. Hiervoor was het alleen nodig dat gebruikers zo'n gemanipuleerd zipbestand uitpakten.

De oorzaak van dit beveiligingsprobleem zit in de afhandeling van symbolic links in zipbestanden. Ontdekker Ryota Shiga van GMO Flatt Security heeft deze kwetsbaarheden gevonden met hulp van AI-beveiligingstool Takumi San AI.

Reacties (62)

[Rob Wu]

Dit artikel gaat over CVE-2025-11001 en CVE-2025-11002, wat opgelost is in 25.00, "fixed some bugs and vulnerabilities." (https://github.com/ip7z/7zip/releases/tag/25.00)

Vlak daarna is 25.01 uitgekomen die nog een probleem verhelpt: CVE-2025-55188. Het grappige hierbij is dat deze werd gevonden tijdens een CTF, maar niet als bedoelde oplossing: https://lunbun.dev/blog/cve-2025-55188/

Er gaan heel veel nieuwsartikelen over de eerste twee kwetsbaarheden, maar de tweede heeft nauwelijks aandacht gekregen in het nieuws, terwijl deze wel een interessante write-up heeft.

[.Peter.]

In de veranderingen voor 25.01 heeft de 7-Zip ontwikkelaar verduidelijkt dat er twee andere kwetsbaarheden zijn verholpen in 25.00:

- fixed some bugs and vulnerabilities.
- the bug was fixed : CVE-2025-53816 : 7-Zip could work incorrectly for some incorrect RAR archives.
- the bug was fixed : CVE-2025-53817 : 7-Zip could crash for some incorrect COM (Compound File) archives.

Van deze twee is de eerste ernstiger, CVE-2025-53816 kan geheugencorruptie veroorzaken. CVE-2025-53817 is wat minder erg, het programma crasht op een gecontroleerde wijze.

CVE-2025-11001 en CVE-2025-11002 van Trend Micro’s ZDI worden niet genoemd. Er is wel extra code en commentaar toegevoegd dat hieraan gerelateerd lijkt te zijn, het voorkomt het wegschrijven van gevaarlijke bestanden.

In 25.01 wordt diezelfde code wederom aangepast voor een vergelijkbaar probleem. Waar de CVEs van ZDI best summier is, hebben we een mooie uitleg die Rob al noemde, https://lunbun.dev/blog/cve-2025-55188/.

Met de nieuwe versie is het niet meer pappen en nathouden, maar het hele probleem proberen uitroeien. Dit door schrijven naar submappen of bestanden te verbieden die symbolische links zijn. Zoek maar naar CheckLinkPath_in_FS en IsOsSymLink in dat bestand.

De “malware uitvoeren” kwetsbaarheid treedt alleen op wanneer er buiten de hoofdmap kan worden geschreven. Dit kon enkel als een van de submappen of het uiteindelijke bestand een symbolische link is.

Of in de woorden van de 7-Zip ontwikkelaar:

25.01 2025-08-03
-------------------------
- The code for handling symbolic links has been changed
to provide greater security when extracting files from archives.
Command line switch -snld20 can be used to bypass default security
checks when creating symbolic links.

[JohanNL]

Wordt 7-zip nog veel gebruikt? Dacht dat de meesten gewoon de ingebouwde functionaliteit gebruiken van Windows en Winrar voor .rar bestanden.

[Anonymoussaurus]

Wat ik heb begrepen is dat 7-Zip een stuk meer functies ondersteunt dan Windows. Windows ondersteunt wel de formaten van 7-Zip maar nog niet alle features. Daarnaast is de native feature in Explorer trager: https://www.reddit.com/r/windows/comments/1jfy5zv/windows_explorer_vs_7zip_performance/.

Je kan bijvoorbeeld wel compressieniveau instellen, maar geen password of andere geavanceerde opties, zie https://tweakers.net/fotoalbum/image/hsirdrRTRL6lzjyfhErqayiI.png.

[Reactie gewijzigd door Anonymoussaurus op 13 oktober 2025 15:52]

[bapemania]

Door ProtonDrive gezipte bestanden vanaf een bepaalde grootte kan Windows Verkenner ook niet openen, dan moet je 7zip (ms werken winzip en winrar ook) hebben.

[xenn99]

Multi part 7zip files werken volgens mij ook niet native in Windows, althans de laatste keer dat ik het getest heb.
(degene met .001 .002 .003 als extensie)
Dat wordt redelijk vaak gebruikt en daardoor is de native functie in ieder geval voor mij niet nuttig.

7zip is ook een mooi lichtgewicht programma dus ik zou iedereen die gewoon aanraden.

[Ge Someone]

Inderdaad, hetzelfde geldt voor multipart rar bestanden. Net zoals de genoemde encryptie (wachtwoord op het bestand) niet werkt. 7-zip is een goed alternatief voor bijvoorbeeld WinRaR.

[dasiro]

"redelijk vaak" in een welbepaalde niet-professionele scene en dat is dan eerder uit nostalgie dan uit noodzaak

[Navi]

Volgens mij is zip via Windows single threaded, en mist veel functies zoals compressieniveau, encryptie etc.

[Anonymoussaurus]

Compressieniveau wordt wel degelijk ondersteund, maar encryptie inderdaad niet: https://tweakers.net/fotoalbum/image/hsirdrRTRL6lzjyfhErqayiI.png

[Gismo1979]

Als ik onder verkenner een aantal bestanden wil toevoegen aan een archief-bestand middels 7-zip dan kan ik de volgende o.a. instellingen kiezen: Compressieniveau, Compressiemethode, aantal CPU-Threads en een versleuteling.

Als ik dit zo zie dan missen de functies die jij benoemd niet in 7-Zip in de huidige versie.

Sorry my bad, heb je tekst verkeerd gelezen. Je hebt het over de zipfunctie van windows en niet van 7-zip.

[Reactie gewijzigd door Gismo1979 op 13 oktober 2025 16:30]

[imqqmi]

Persoonlijk vind ik de context menu's extract to "*\" waarbij er een folder wordt aangemaakt met dezelfde naam als de zipfile. En dit werkt ook als je in een keer meerdere zip archieven wilt extraheren, meerdere folders worden dan aangemaakt. Ik geloof niet dat de ingebouwde versie van Windows dat ondersteund.

Verder kan deze ook bijvoorbeeld iso files en dsk images uitpakken (vhd en ntfs worden ook ondersteund), wat bij mijn retro computers soms erg handig kan zijn. Ook sommige setup files kun je openen en de bestanden eruit halen, wat ik wel eens heb gebruikt om driver files uit een setup bestand te krijgen die niet wilde installeren op een nieuwere versie van Windows. Er zullen vast andere en betere tools zijn, maar ik ben wel tevreden met 7-zip.

[SiGNe]

Met 7zip kan je ook rar uitpakken en gewoon zip werkt ook beter/sneller.
Het is voor mij de go-to tool omdat het alles in 1 is, rar, zip maar ook 7z

[Caldera]

Ik had het nodig voor mods, vaak worden die nog wel zipped met .7z

[JacOwns7]

De built-in van Windows kan gewoon .7z uitpakken
Zip and unzip files - Microsoft Support

[Caldera]

Op windows 11 wel ja, maar ik zit nog op windows 10 met mijn aardappel i7 3770

[Eagle Creek]

en Winrar voor .rar bestanden.

Ook dat hoeft niet meer. Windows 11 heeft (sinds 2023) ingebouwde ondersteuning voor .rar-bestanden (en ook .7z- en .tar-bestanden). Dit betekent dat vrijwel alle bekende en populaire compressieformaten (dus te weten .zip, .rar, .7zip en .tar) door Windows te lezen én (minus .rar) te maken zijn.

Wel zijn de functionaliteiten in Windows basaal en bieden vrijwel alle "compressiemanagers" (zoals Winrar, 7-Zip, WinZip, etc) extra functionaliteiten. Niet in de laatste plaats omdat de ingebouwde ondersteuning voor .zip best wel flink achterliep qua moderne functies en bv AES-encryptie. Ook dat is inmiddels weer bijgewerkt naar huidige standaarden.

Voor de gewone gebruiker zal het in de dagelijkse praktijk meer dan genoeg zijn.

Zie ook:

• https://www.reddit.com/r/...nally_supports_rar_files/
• review: Nieuwe features in Windows 11 24H2 - Ook zonder AI-pc krijg je nieuwe...

Klik maar eens met de rechtermuisknop op een bestand > comprimeren > meer opties. Je zult mogelijk versteld staan van wat tegenwoordig zonder extra tooling mogelijk is.

[Reactie gewijzigd door Eagle Creek op 13 oktober 2025 18:37]

[OruBLMsFrl]

Niet in de laatste plaats omdat de ingebouwde ondersteuning voor .zip best wel flink achterliep qua moderne functies en bv AES-encryptie. Ook dat is inmiddels weer bijgewerkt naar huidige standaarden.

Je kunt in Windows 11 24h2 althans, zo te zien niet eens een .zip bestand of 7zip bestand maken dat met een wachtwoord beschermd is. Dat wil zeggen dat zonder aanvullende encryptie, iedere dienst waar je dat bestand mee verstuurt, welke niet zelf al end-to-end encrypted is, de inhoud kan meelezen. Misschien mis ik iets, of is in de hagelnieuwe 25h2 Windows 11 versie eindelijk wel password protected zip mogelijk?

[JacOwns7]

Klopt, encryptie is (nog) niet mogelijk met de built-in, MS geeft zelf ook aan dat je dan uit moet uitwijken naar een non-ms optie.

Maar dan ga je weer iets buiten de scope van een doorsnee user. Die decompt vaak alleen maar, of pakt hooguit bijlages voor in de mail in een zip zonder pw.

[Tim_O]

Andersom de vraag, installeren mensen nog echt Winrar of laten ze het erop staan omdat het er al op staat?

[freshy98]

Ja, ik installeer het omdat ik het context menu deel fijn vind werken.
Nooit een behoefte gehad om 7ZIP te gebruiken.

[drdelta]

7-Zip biedt een vergelijkbaar context menu, en mag je gratis gebruiken. Voor mij een goede reden geen WinRar meer te gebruiken.

[freshy98]

Ik heb WinRAR nooit gekocht, en de popup wegklikken is ook geen ramp, en bij het context menu heb je er geen last van.

[drdelta]

Waarom verkies je functioneel vergelijkbare commerciële software met een pop-up, ten opzichte van gratis open source software zonder nag screen?

[freshy98]

Omdat het voor mij werkt.

[jpsch]

7zip zet ik er altijd op, winrar nooit. Is het niet persoonlijke voorkeur, zoals je vroeger pkzip of arj gebruikte?

[BeosBeing]

..., zoals je vroeger pkzip of arj gebruikte?

Robert Jung, de maker van arj, heeft naderhand nog een verbeterde versie gemaakt genaamd JAR. Helaas werd die extensie toen al gebruikt voor het Java ARchive formaat (wat in feite een speciaal soort zipfile is, net zoals sdlppx, sdlrpx, docx, xlsx, ...). Daarnaast heeft hij voor geen van beide ooit een gui-versie gemaakt, al was voor JAR wel een third-party GUI door R. Janssen. Geen van beide hebben ooit enige populariteit gehad.

[Jeoh]

Ik gebruik het nog omdat ik destijds heb betaald voor de licentie (ook voor mIRC, haha) en ik 'm verdomme dus zal gebruiken ook.

[bartvincke]

Winrar is betalend, 7zip is gratis, ook commercieel

En momenteel is de ingebouwde zip functionaliteit van windows nog heel beperkt, al dacht ik gelezen te hebben dat de insider builds daar nu extra features bijkrijgen

[Visgek82]

Winrar is prima gratis te gebruiken.

[drdelta]

Maar niet zonder de gebruikslicentie te overtreden:

The software is distributed as try before you buy. This means that anyone may use the software during a test period of a maximum of 40 days at no charge. Following this test period, the user must purchase a license to continue using the software.

[Visgek82]

Ik heb een licentie. Meeste houden zich daar toch niet aan.

[TVL]

7-Zip is juist heel handig om een Zip file te beveiligen met encryptie. En zo zijn er nog wel wat meer dingen die je kan doen die de ingebouwde functionaliteit niet heeft. Zoals bijvoorbeeld de snelheid van 7-zip

[Reactie gewijzigd door TVL op 13 oktober 2025 15:51]

[gigi71]

Ik gebruik 7-zip voornamelijk voor de ingebouwde encryptie. Je kunt met 7-zip bv. ook de bestandsnamen coderen. Ik wissel niets uit via bv. publieke diensten zonder volledig gecodeerd te zijn.

[Pablo]

wordt heel veel gebruikt.
Zeker voor de combinatie van encrypten en compressen

[phoenix2149]

Ik gebruik het dagelijks. De windows tool heeft dat niet en als je bestanden van een aantal GB moet versturen scheelt het toch.

[Borgia]

Ik gebruik WinRAR om backups te maken van mijn game server files (bijv Valheim worlds). Lekker makkelijk in backup scripts die om de zoveel tijd gerund worden. Zo ver ik weet heeft de compressie app van Windows geen commandline tool, of vergis ik mij? 7Zip kan ook voor zulke doeleinden gebruikt worden. Met handige schakelopties zoals alleen veranderde bestanden meenemen etc.

[curkey]

Ik gebruik Peazip, een gratis en volgens mij zelfs open source tooltje. Werkt vele malen fijner en kent veel meer formaten. Geen mag screens en als portable app ook beschikbaar.

WinRAR gebruik ik echt al jaren niet meer.

[zalazar]

PeaZip werkt inderdaad prima en is er ook voor Linux en macOS.
Dat 7-Zip geen Linux GUI versie aanbied is wel een minpunt vind ik.

[Sunrise]

snap install p7zip-desktop

Nu weet ik niet zeker of dit nog onderhouden wordt en veilig is.

https://ubuntuhandbook.org/wp-content/uploads/2024/03/pzip-desktop.webp

Of is dit hetzelfd als peaZip?

[zalazar]

Bedankt. Hier staat nog wat meer informatie. https://learnubuntumate.weebly.com/p7zip-desktop.html
Dit is inderdaad 7-Zip maar zo het zien wordt het niet meer onderhouden.
Ik gebruik geen snap maar ik kon het package ook niet direct vinden in de Snap store
De beste optie is volgens mij dan om de 7-Zip .exe installer via Wine te installeren. 7-Zip werkt daarna goed.

[rovabu]

"Werkt vele malen fijner ...", maar wist je dat PeaZip onder water gewoon 7z components gebruikt?

[Cafe Del Mar]

Heb je het verschil in performance wel eens gemeten?
Ik had op een verse W11-installatie nog geen Winrar geïnstalleerd en gebruikte de in W11 ingebouwde unzipper. Tot ik wat later wél Winrar geïnstalleerd had en dezelfde ZIP 2 keer uitpakte: met de ingebouwde unzipper en met Winrar. Ik denk dat het verschil in performance x10 is. Dat merk je wel.
Sindsdien installeer ik altijd 7zip of Winrar, want de standaard versie is om te huilen. Ongelooflijk dat op zo'n basisfunctionaliteit Microsoft niet in staat is om iets redelijks op te leveren.

[SilentLucidity]

Ik ben juist overgestapt van Winrar naar 7ZIP. Geen problemen meer met licensies (en ik kom dus ook in de hemel, ook al geloof ik daar niet in). 7ZIP kan alles wat winrar kan, allemaal gratis, wachtwoorden voor meerdere typen archieven en ook makkelijk uitwisselbaar met linux apparaten (.ZIP, .7Z, .TAR) gaan allemaal beter daar.

[BeosBeing]

Wordt 7-zip nog veel gebruikt? Dacht dat de meesten gewoon de ingebouwde functionaliteit gebruiken van Windows en Winrar voor .rar bestanden.

De ondersteuning van 7-zip zit nog maar in Windows sinds 11 versie 22H2, deze feature is - bij mijn weten - in Windows 10 nooit geïmplementeerd. Aangezien tot pakweg een jaar geleden de meerderheid van de Windows gebruikers op Windows 10 (of zelfs ouder) zat zullen die echt wel wat anders gebruikt hebben - als ze het 7-zip formaat überhaupt al gebruikten, zip kent men meestal wel maar 7-zip niet.

Zelf gebruik ik al ongeveer 20 jaar PeaZip, de reden van overstap was destijds de overzichtelijkere interface en de grotere gebruiksvriendelijkheid. RAR gebruik ik zelf niet, als ik het moet uitpakken doe ik dat met PeaZip die met de gratis unrar.dll toen al RAR kon uitpakken. Het inpakken van mediabestanden, destijds het piece de resistance van RAR, geeft amper compressie en was eigenlijk alleen zinvol om ook te kunnen splitsen over floppies, zipdisks of usenet uploads waarbij dat laatste natuurlijk al gauw illegaal was/is.

Verder bied de dedicated software uiteraard meer opties en een hogere snelheid - wat anderen hier al noemen. Wat ik wel zie is dat Windows 11 de context-menu opties van PeaZip blokkeert, maar niet op alle systemen die waar ik het gebruik.

[kuurtjes]

[quote]waarmee kwaadwillenden op afstand malware konden uitvoeren[/quote]

Dit vind ik niet echt juist. Een RCE is juist "remote" omdat het geen gebruikersinteractie vereist. De term is nogal verwaterd spijtig genoeg. Ondertussen gebruiken sommige cybersecurity researchers het ook voor lokale software exploits, maar dan kan je bijna alle malware die een exploit misbruikt wel remote gaan noemen.

https://www.crowdstrike.com/en-us/cybersecurity-101/cyberattacks/remote-code-execution/

[freshy98]

Dank je wel. Vroeg mij al af waarom een tool als 7ZIP op afstand beheert zou moeten kunnen worden.

[Keypunchie]

Stond hier ook even te kijken. Voor RCE heb je toch een server-component nodig.

Of gaat 7-zip automatisch bestanden uitpakken ofzo?

[TVL]

Bij mij op het werk werd je ook gewaarschuwd voor versie 25.0

Op de site van 7zip zijn ze bij versie 25.01 die al op 25 augustus is uitgebracht.

HISTORY of the 7-Zip -------------------- 25.01 2025-08-03 ------------------------- - CVE-2025-55188 : The code for handling symbolic links has been changed to provide greater security when extracting files from archives. Command line switch -snld20 can be used to bypass default security checks when creating symbolic links.

[Reactie gewijzigd door TVL op 13 oktober 2025 15:44]

[Anonymoussaurus]

Inderdaad, wat Tweakers zegt klopt niet helemaal. De fix is niet geïmplementeerd in 25.01, zoals deze zin impliceert:

De huidige versie van compressietool 7-Zip dicht twee kwetsbaarheden waarmee kwaadwillenden op afstand malware konden uitvoeren op pc's van gebruikers.

De huidige versie is namelijk 25.01, niet 25.00 (die deze fix bevat).

[BrainCrash]

Ja, maar goed, de huidige versie 25.01 bevat dan natuurlijk óók nog steeds de fixen die in 25.00 gedaan zijn. Ze gaan natuurlijk niet in 25.01 de fixen verwijderen die in 25.00 toegevoegd zijn.
Dus technisch gezien is wat Tweakers zegt wel degelijk correct; In de huidige versie zijn die twee genoemde kwestbaarheden (nog steeds) gedicht, en als je de huidige versie gebruikt, dan zit je dus goed.
Dat die fix ook al in 25.00 van een maand eerder zat maakt de opmerking over de huidige versie niet minder waar natuurlijk.

[Reactie gewijzigd door BrainCrash op 13 oktober 2025 16:50]

[patathome]

25.1.0 bedoel je denk ik?

[Anonymoussaurus]

Nee, 25.01: https://7-zip.org/history.txt

[rubenvb]

Toch leuk die ad hoc versioning.

[patathome]

Ok! Dan klopt er bij Chocolatey iets niet. Daar staat versie 25.1.0 benoemd als download! Vandaar mijn vorige reactie !


https://community.chocolatey.org/packages/7zip

[Mizgala28]

Meteen maar geüpdatet naar 25.01, blijkbaar had ik nog 24.04 op mijn systeem.

[Jerie]

Nanazip en Peazip (forks) hebben hier wellicht ook last van.

[maali]

ik wou dat net zeggen want ik gebruik nanazip. in preview build verholpen maar in de stable nog niet.

[Awap]

Bedankt voor je herinnering. Even de changelog van Peazip opgezocht: 2025 08 09 - 10.6.0 - BACKEND Updated 7z 25.01. Lijkt dus hersteld. De laatste Peazip versie nu toch maar even downloaden.

[Jerie]

Nanazip is kwetsbaar:
NanaZip 5.0 Update 2 (5.0.1263.0) Latest
on Feb 17

Deze versie staat ook in Winget en MSStore

[Marctraider]

"Attackers used:

• Nested archives (ZIP inside ZIP)
• Homoglyph filenames (like “invoice.pdf.exe”)

En dit is de reden nummer 1 dat je je firewall niet wagenwijd open moet zetten. Helaas wel het geval voor de doorsnee consument en Tweaker.

[Vaevictis_]

Tijd om 7-zip op zwarte lijst te plaatsen, de code is dermate slecht dat kwetsbaarheden naar buiten blijven komen. In de cve database al 5x dit jaar. Peazip heeft een veel betere reputatie.