7-Zipが26.05に 今月2回目の脆弱性修正、社内PCの版の確認を

無料の圧縮・展開ソフト「7-Zip」は2026年10月21日、新しい版の26.05を出しました。公式の更新の履歴によると、Z形式の圧縮ファイルとMach-O(macOSなどの実行ファイルの形式)の展開の処理を改善し、いくつかのバグと脆弱性を直しました。10月5日の26.04に続き、今月2回目の脆弱性の修正です。

どちらの版も、直した脆弱性の中身やCVEの番号は書かれていません。7-Zipは社内のPCに入っていることが多く、細工した圧縮ファイルを開くだけで問題が起きる種類の脆弱性が今年も続いています。中身が分からなくても、新しい版へ入れ替えておくのが安全です。

26.05と26.04で変わったこと

26.05は、Windowsの64ビット(x64)、32ビット(x86)、ARM64向けのインストーラー(exeとmsi)と、Linux向けのコマンドの版が公式のダウンロードのページに並んでいます。告知では、ファイルの置き場所としてGitHubのリリースのページを案内しています。

今年は修正が続いている

7-Zipは今年、圧縮ファイルの形式ごとの処理で、脆弱性の修正が続いています。番号の付いたものの例は次のとおりです。

Mark-of-the-Webは、ネットから入手したファイルにWindowsが付ける印です。この印が外れると、開くときの警告やOfficeの保護ビューが働かなくなります。2025年に見つかった同じ種類の7-Zipの脆弱性(CVE-2025-0411)は、CISAの悪用済みの一覧(KEV)に載りました。

7-Zipの脆弱性の多くは、細工した圧縮ファイルを開いたり展開したりすることで起きます。メールの添付やダウンロードのファイルを日常的に展開するPCほど、古い版を残さないことが大切です。

社内のPCへの入れ方

7-Zipの公式のFAQは、画面を出さずに入れる方法を案内しています。

• exeのインストーラー: /S を付けて実行する。入れる場所は /D="C:\Program Files\7-Zip" で指定する(大文字と小文字を区別する)
• msiのインストーラー: /q INSTALLDIR="C:\Program Files\7-Zip" を付けて実行する

資産管理のツールやIntuneなどで配るときは、msiの版が扱いやすい場合があります。7-Zipのフォルダーの中の7z.dllを、別のソフトが同梱していることもあります。ソフトの一覧で見つけにくい場合は、ファイルの版で探すと漏れが減ります。

影響する会社・しない会社

• 影響する: 社員のPCや共有のサーバーで、7-Zipの26.04より前の版を使っている会社です。26.05への入れ替えが要ります。
• 影響する: 7-Zipのコマンドの版や7z.dllを、業務の仕組み(ファイルの取り込み、バックアップなど)の中で使っている会社です。外から届いたファイルを自動で展開する仕組みほど、先に入れ替えます。
• 影響する: 7-Zipを同梱した別のソフトを使っている会社です。同梱しているソフトの開発元の更新も確かめます。
• 影響しない: 7-Zipを使っていない会社や、すでに26.05に上げた会社は、今回の作業は要りません。

情シスが今日やること

1. 資産管理のツールで、社内のPCとサーバーにある7-Zipの版を一覧にします。7z.exeと7z.dllのファイルの版でも探します。
2. 26.05を、公式のダウンロードのページから入手します。検索の広告や、まとめのサイトからは入れません。
3. 資産管理のツールやIntuneなどで、26.05を配ります。exeは /S、msiは /q で画面を出さずに入れられます。
4. 外から届いたファイルを自動で展開する業務の仕組みに7-Zipが入っていれば、その仕組みの担当者と、入れ替えの日を決めます。
5. 社員には、知らない相手からの圧縮ファイルを開かないこと、開くときの警告を無視しないことを、あらためて伝えます。