Redazione RHC : 20 noviembre 2025 08:06
Millones de usuarios están expuestos al riesgo de infecciones de malware y vulneración del sistema debido a la explotación activa por parte de los hackers de una vulnerabilidad crítica de ejecución remota de código (RCE) en el popular software de archivado 7-Zip.
Esta vulnerabilidad, divulgada en octubre de 2025, tiene una puntuación CVSS v3 de 7.0 y muestra una gravedad de explotación local, pero a gran escala sin requerir privilegios elevados.
En concreto, CVE-2025-11001 es una vulnerabilidad de seguridad relacionada con el manejo inadecuado de enlaces simbólicos dentro de archivos ZIP. Esto permite a los atacantes ejecutar código arbitrario en sistemas vulnerables mediante la navegación a través de directorios.
El 18 de noviembre de 2025, NHS England Digital del Reino Unido emitió un aviso urgente, confirmando la explotación activa del fallo CVE-2025-11001 e instando a realizar actualizaciones inmediatas para mitigar los riesgos.
La vulnerabilidad fue descubierta por Ryota Shiga de GMO Flatt Security Inc. , quien trabajó con su herramienta AppSec Auditor basada en IA, y fue reportada rápidamente a los desarrolladores de 7-Zip.
Los expertos en seguridad de la Iniciativa Zero Day (ZDI) de Trend Micro han revelado detalles sobre cómo un atacante podría usar esta vulnerabilidad para eludir las restricciones de los entornos sandbox, aumentando significativamente el riesgo, especialmente en el contexto del procesamiento automatizado de archivos en las empresas.
Esta vulnerabilidad de parcheo podría permitir a los atacantes sobrescribir archivos críticos del sistema o inyectar cargas maliciosas , lo que llevaría a la ejecución completa del código en el contexto de la cuenta de usuario o de servicio que ejecuta la aplicación.
También se ha hecho público un exploit de prueba de concepto (PoC) , que demuestra cómo un archivo ZIP malicioso puede abusar del manejo de enlaces simbólicos para facilitar escrituras de archivos arbitrarias y, en ciertos escenarios, atacar el RCE.
La reciente prueba de concepto ha reducido el umbral de tolerancia para los atacantes, aumentando así el número de ataques detectados. Basta decir que explotar la vulnerabilidad requiere una mínima interacción del usuario: simplemente abrir o extraer un archivo malicioso es suficiente para desencadenar el ataque , un mecanismo frecuentemente utilizado en phishing y descargas automáticas.
Los ciberdelincuentes podrían utilizar esta vulnerabilidad de ejecución remota de código (RCE) para distribuir ransomware, robar datos confidenciales o crear puertas traseras persistentes, lo que amplificaría la amenaza en los ataques a la cadena de suministro, donde los archivos comprometidos se propagan a través del correo electrónico o unidades compartidas.
Para evitar este riesgo, los usuarios y las organizaciones deben actualizar 7-Zip a la versión 25.00 o superior, disponible en el sitio web oficial, que utiliza una canonización de rutas más estricta para prevenir intentos de recorrido.
El nuevo parche corrige dos errores, CVE-2025-11001 y CVE-2025-11002. Todas las ediciones de Windows que tengan instalado 7-Zip antes de la versión 25.00 se ven afectadas, mientras que no se han reportado impactos en Linux o macOS.
Redazione18 de noviembre de 2025 – Tras horas de interrupciones generalizadas , el incidente que afectó a la red global de Cloudflare parece estar cerca de resolverse. La compañía anunció que impleme...
Dos graves vulnerabilidades en el sistema operativo AIX de IBM podrían permitir a atacantes remotos ejecutar comandos arbitrarios en los sistemas afectados, lo que ha llevado a la compañía a public...
Masimo, una empresa estadounidense que desarrolla tecnologías de monitorización médica, ha ganado otra batalla legal contra Apple . Un jurado federal le otorgó 634 millones de dólares por infring...
El software espía (también conocido como aplicaciones espía) representa una de las amenazas más insidiosas y peligrosas de la era digital. Se trata de programas maliciosos diseñados para infiltra...
Google se acerca a la presentación oficial de Gemini 3.0 , el nuevo modelo de inteligencia artificial que representa uno de los pasos más significativos en la estrategia de la compañía. Según inf...
