NHS England Digital, en un
aviso actualizado el 20 de noviembre de 2025, afirmó no haber observado una explotación activa de la
vulnerabilidad
CVE-2025-11001 (CVSS: 7.0), pero señaló que tiene
«conocimiento de una vulnerabilidad pública de explotación de prueba de
concepto».
La vulnerabilidad permite a atacantes remotos ejecutar código
arbitrario en Windows y a través del abuso de enlaces simbólicos y fue
corregida en la
versión 25, de julio de 2025.
«La falla específica se encuentra en el manejo de enlaces simbólicos en
archivos ZIP. Los datos manipulados en un archivo ZIP pueden provocar que el
proceso acceda a directorios no deseados»,
declaró la Iniciativa de Día Cero (ZDI) de Trend Micro
en una alerta publicada el mes pasado.
«Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en
el contexto de una cuenta de servicio».
Cabe destacar que 7-Zip 25.00 también corrige otra falla,
CVE-2025-11002
(CVSS: 7.0), que permite la ejecución remota de código aprovechando el manejo
inadecuado de enlaces simbólicos dentro de archivos ZIP, lo que resulta en un
salto de directorio.
Ambas deficiencias se introdujeron en la versión 21.02.
Dado que
existen exploits de prueba de concepto (PoC), es esencial que los usuarios de 7-Zip actúen rápidamente para aplicar las
correcciones necesarias lo antes posible, si no lo han hecho ya, para una protección óptima.
«Esta vulnerabilidad solo puede explotarse desde una cuenta de
usuario/servicio con privilegios elevados o desde una máquina con el modo de
desarrollador habilitado»,
declaró
el investigador de seguridad Dominik (aka pacbypass), quien
publicó la prueba de concepto (PoC), en una publicación que detalla la falla.
«Esta vulnerabilidad solo puede explotarse en Windows».
Fuente:
THN