https://vul.hatenadiary.com/entry/2025/10/18/000000

【訳】

7-Zipの脆弱性に対するPoCエクスプロイトが公開され、攻撃者がリモートで任意のコードを実行可能に

【要点】

◎7-Zipのシンボリックリンク欠陥（CVE-2025-11001/11002）のPoCが公開。悪意あるZIPで任意の場所へ書き込み、条件次第でコード実行が可能。21.02〜24.09が影響、25.00で修正済み。即時更新と検査を。

【脆弱性内容】

公開日	登録日	CVE番号	NVD	ベンダー	CVSS v3	CWE	脆弱性	KEV	備考
2025/10/07	-	CVE-2025-11001	NVD	ベンダー	7.0(ZDI)	-	-	-	7-Zip
2025/10/07	-	CVE-2025-11002	NVD	ベンダー	7.0(ZDI)	-	-	-	7-Zip

【要約】

7-ZipのZIP解凍処理におけるシンボリックリンク検証の不備（CVE-2025-11001 / CVE-2025-11002）についてPoCが公開された。悪意あるZIPはリンクを利用してパストラバーサルやUNC参照による抽出先外への書き込みを誘発し、昇格や開発者モード等の条件下で任意のコード実行に至る恐れがある。影響バージョンは21.02〜24.09で、7-Zip 25.00で再設計による修正が導入済み。直ちに25.00へ更新し、シンボリックリンク無効化やウイルス検査、抽出時の異常書き込み監視を行うことを推奨する。

【ニュース】

◆PoC Exploit Released for 7-Zip Vulnerabilities that Let Attackers Execute Arbitrary Code Remotely (Cyber Security News, 2025/10/18)
[7-Zipの脆弱性に対するPoCエクスプロイトが公開され、攻撃者がリモートで任意のコードを実行可能に]
https://cybersecuritynews.com/poc-exploit-7-zip-vulnerabilities/

【Exploit / PoC】