7-Zip 26.06: BSI warnt vor Sicherheitslücken in älteren Versionen

BSI sieht ältere 7-Zip-Versionen als verwundbar

Im Sicherheitshinweis WID-SEC-2026-4448 führt das BSI mehrere Schwachstellen auf, die einen nicht näher beschriebenen Angriff auf 7-Zip ermöglichen können. Die Behörde kennzeichnet auch die Möglichkeit eines Angriffs aus der Ferne. Eine konkrete Vorgehensweise, betroffene Archivformate oder bereits beobachtete Angriffe nennt die öffentlich zugängliche Meldung jedoch nicht.

Das Projekt selbst hält in den Versionshinweisen zu 7-Zip 26.06 knapp fest, dass Fehler und Sicherheitslücken behoben wurden. Einzelne CVE-Kennungen oder die vollständige technische Ursache dieser Korrekturen werden dort nicht aufgeführt. Deshalb lässt sich aus der Veröffentlichung keine seriöse Aussage darüber ableiten, ob schon das Anzeigen, erst das Öffnen oder das Entpacken eines speziell präparierten Archivs für eine Ausnutzung genügen würde.

Verbesserter Umgang mit aufgeteilten Dateien

Abseits der Sicherheitskorrekturen verbessert 7-Zip 26.06 die Verarbeitung von Dateiteilen, die unter Linux mit dem Kommando split erzeugt wurden. Das ist beispielsweise beim Austausch größerer Datenbestände oder in Arbeitsabläufen relevant, in denen Dateien vor der Übertragung oder Archivierung aufgeteilt werden.

Die Änderung sollte nicht mit einer generellen Neuerung beim ZIP- oder 7z-Format verwechselt werden. Das Projekt spricht ausdrücklich von einer verbesserten Unterstützung für mit split erzeugte Teile. Ob vorhandene eigene Skripte anders reagieren, lässt sich nur anhand der jeweiligen Dateien und Befehlsaufrufe prüfen.

Auch Kommandozeilenprogramme und verteilte Installationen prüfen

Auf Windows-PCs lässt sich der Versionsstand in der Regel im 7-Zip-Dateimanager über Hilfe → Über 7-Zip ablesen. Wer eine ältere Ausgabe verwendet, sollte die neue Version installieren. Die offizielle Distribution bietet getrennte Windows-Installer für x64, ARM64 und 32-Bit-x86. Die Architektur muss zum jeweiligen System passen.

In Unternehmen und technischen Umgebungen lohnt sich außerdem der Blick über die Desktop-Anwendung hinaus. 7-Zip wird auch als eigenständiges Kommandozeilenwerkzeug angeboten; das Projekt stellt zusätzlich Bibliotheken und Konsolenversionen für verschiedene Plattformen bereit. Ein aktualisierter Windows-Dateimanager bedeutet daher nicht automatisch, dass separat abgelegte Programmdateien, Build-Werkzeuge oder eingebundene Bibliotheken ebenfalls erneuert wurden. Diese Bestände sind eigenständig zu inventarisieren.

Unter Linux und macOS liefert das Projekt Konsolenpakete aus. Bei Paketen aus Betriebssystem-Repositories können Versionsnummern und der Zeitpunkt der Bereitstellung abweichen. Administratoren sollten deshalb nicht allein die veröffentlichte Versionsnummer betrachten, sondern auch den Paketstand und gegebenenfalls dokumentierte Sicherheitskorrekturen des jeweiligen Distributors.

Download und Update

Windows x64: 7-Zip 26.06 direkt beim Entwickler herunterladen. Der Link führt zur offiziellen Installationsdatei des Projekts auf GitHub.

Andere Systeme: Die offizielle Release-Übersicht für Version 26.06 bietet die aktuellen Pakete für Windows x86 und ARM64 sowie Konsolenversionen für Linux und macOS. Die deutsche 7-Zip-Downloadseite führt derzeit noch die ältere Ausgabe 26.05 als Hauptdownload. Für weitergehende Angaben zu den Korrekturen stehen die Versionshinweise des Entwicklers und der Sicherheitshinweis des BSI bereit.

Das Projekt empfiehlt für Windows regulär die EXE-Installationsprogramme; MSI-Dateien werden als Alternative angeboten. Bestehende Einrichtungen mit zentral gesteuerter Softwareverteilung sollten den Wechsel entsprechend ihrer Paketierungs- und Freigabeprozesse vornehmen.