CVE-2026-48095: Desbordamiento de Búfer del Montón en 7-Zip Puede Conducir a la Ejecución de Código

CVE-2026-48095 en 7-Zip ha suscitado nuevas preocupaciones sobre el manejo de archivos maliciosos y la explotación impulsada por el usuario. Según GitHub Security Lab, la falla es un desbordamiento de búfer de escritura en el manejador de archivos NTFS de 7-Zip que afecta la versión 26.00 y puede potencialmente conducir a la ejecución de código arbitrario o fallos en la aplicación. El problema fue corregido en 7-Zip 26.01, lanzado el 27 de abril de 2026.

El error es especialmente peligroso porque el archivo malformado no necesita usar una extensión de archivo NTFS dedicada para alcanzar el manejador vulnerable. Los informes públicos dicen que la lógica de respaldo basada en firmas de 7-Zip puede dirigir un archivo manipulado con extensiones como .7z, .zip o .rar al analizador NTFS después de que otros manejadores fallen, ampliando la superficie práctica de ataque para la entrega de phishing e ingeniería social.

Para los defensores, los detalles más importantes de CVE-2026-48095 son la versión afectada, el disparador de análisis de archivos, y la existencia de material de explotación pública. GitHub Security Lab dice que el investigador Jaroslav Lobačevski informó el problema en privado el 24 de abril de 2026, mientras que escritos públicos posteriores confirmaron que un generador de Python funcional fue liberado junto con el aviso.

Análisis de CVE-2026-48095

A nivel técnico, la falla se origina en un error de subasignación en el búfer de flujo comprimido NTFS, dentro de CInStream::GetCuSize(). GitHub Security Lab explica que una imagen NTFS creada puede forzar la expresión de desplazamiento usada para dimensionar el búfer a alcanzar un exponente de 32, lo cual desencadena un comportamiento indefinido en C++ y deja _inBuf asignado como solo 1 byte. La siguiente operación de lectura entonces escribe datos controlados por el atacante en ese diminuto búfer, creando una clásica condición de desbordamiento de montón.

Ese desbordamiento se vuelve explotable porque el diseño adyacente del montón permite que el atacante corrompa el puntero de la tabla virtual del objeto de flujo. El análisis público dice que la primera lectura puede sobrescribir la tabla virtual después de solo unos pocos cientos de bytes, mientras que la segunda lectura despacha la ejecución a través del puntero corrupto, haciendo que la ejecución de código sea factible en condiciones favorables. Security Online y Cyber Press describen esto como un camino hacia la ejecución de código arbitrario, al tiempo que también señalan que los sistemas con menos memoria pueden ver resultados de denegación de servicio en su lugar.

El PoC público de CVE-2026-48095 eleva aún más el perfil de riesgo. Security Online dice que el investigador liberó gen_ntfs_sparse.py, un script en Python que genera una imagen NTFS escasa diseñada para activar la falla. En la práctica, la carga útil de CVE-2026-48095 es una imagen de archivo especialmente diseñada en lugar de un ejecutable soltado, lo cual se ajusta a escenarios comunes de ingeniería social donde una víctima es inducida a abrir lo que parece ser un archivo comprimido inofensivo.

Desde una perspectiva operativa, CVE-2026-48095 afecta a los sistemas donde los usuarios abren archivos no confiados con versiones vulnerables de 7-Zip. El aviso coordinado probó específicamente la versión 26.00, mientras que informes posteriores notan que la lógica de dimensionamiento afectada es anterior a esa versión, sugiriendo que el error podría haber existido por más tiempo que solo la versión probada.

Explorar Detecciones

Mitigación de CVE-2026-48095

La respuesta principal es actualizar inmediatamente a 7-Zip 26.01 o posterior. La línea de tiempo de divulgación de GitHub Security Lab muestra que la corrección se envió el 27 de abril de 2026, y la historia oficial de 7-Zip confirma que la versión 26.01 fue lanzada en esa fecha con correcciones de errores.

Para la detección práctica de CVE-2026-48095, las organizaciones deben identificar los puntos finales que ejecutan 7-Zip 26.00, revisar los entornos donde los usuarios desempaquetan frecuentemente archivos desde fuentes externas, y priorizar los sistemas utilizados para la triangulación de correos electrónicos, descargas, análisis de malware, o manejo administrativo de archivos comprimidos. Dado que la ruta de explotación está impulsada por archivos, el paso más útil inicial es la validación de activos y versiones en lugar de la búsqueda en la red.

No existen IOC de CVE-2026-48095 publicados por el proveedor en los materiales citados, por lo que los equipos que intentan detectar CVE-2026-48095 deben enfocarse en la actividad sospechosa de apertura de archivos, fallos que involucren 7-Zip alrededor de contenido similar a NTFS, y flujos de trabajo del usuario donde las extensiones de archivo disfrazadas podrían llegar al manejador vulnerable. En ausencia de un monitoreo más sólido, el parcheo y la precaución del usuario siguen siendo las defensas más fiables.