Beveiligingslek in 7-Zip omzeilt Windows-waarschuwing voor internetbestanden

Het populaire archiveringsprogramma 7-Zip bevatte een beveiligingslek waarmee een aanvaller de standaardwaarschuwing van Windows voor bestanden uit e-mail of internet kon omzeilen. Dat meldt Security.NL. Het lek staat geregistreerd als CVE-2026-58052 en is verholpen in 7-Zip 26.03, dat op 3 september 2026 uitkwam.

Wat er precies mis was

Windows plakt een onzichtbaar label aan elk bestand dat je downloadt of via e-mail ontvangt: het zogeheten Mark-of-the-Web. Dankzij dat label krijg je bij het openen van zo'n bestand de vertrouwde melding dat het uit een onbetrouwbare bron komt en vraagt Windows of je zeker weet dat je het wilt openen. Volgens de kwetsbaarheidsdatabase van GitHub (advisory GHSA-fx33-p83c-vpr5) faalde 7-Zip in het doorzetten van dat label bij het uitpakken van een specifiek geprepareerd RAR5-archief. De archiveertool blokkeerde weliswaar een stream met de exacte naam "Zone.Identifier", het onderdeel waarin Windows het internetlabel bewaart, maar een RAR5-bestand kan diezelfde informatie ook wegschrijven onder de naam ":Zone.Identifier:$DATA". Het bestandssysteem NTFS behandelt beide namen als hetzelfde stream, waardoor de eigen waarschuwing van 7-Zip werd overschreven zonder dat de tool dat doorhad.

Waarom dit een reëel risico is

Het resultaat: bestanden die je uitpakt met een kwetsbare versie van 7-Zip krijgen geen Mark-of-the-Web, ook al kwamen ze gewoon van internet of uit een bijlage. Open je zo'n bestand daarna, dan verschijnt de vertrouwde beveiligingsvraag van Windows niet. Voor een aanvaller is dat aantrekkelijk, omdat juist die waarschuwing vaak de laatste horde is voordat iemand per ongeluk een schadelijk document of programma opent. Volgens de kwetsbaarheidsadvisory van VulnCheck moet een slachtoffer wel zelf het gemanipuleerde archief downloaden en uitpakken; het lek werkt niet vanzelf op afstand.

Update is niet automatisch

7-Zip heeft geen ingebouwde functie om zichzelf automatisch bij te werken, in tegenstelling tot bijvoorbeeld Chrome of Windows zelf. Wie de kwetsbare versie 26.02 of ouder gebruikt, blijft dus gewoon risico lopen totdat iemand de update handmatig installeert. Ga naar de instellingen van 7-Zip of naar "Info" in het programma om te zien welke versie je hebt, en haal versie 26.03 of nieuwer op via de officiële website 7-zip.org of de releasepagina op GitHub. Vervang de oude installatie door de nieuwe; een aparte deïnstallatie is niet nodig, de installer werkt de bestaande versie bij.

Wat je hier concreet mee doet

Gebruik je 7-Zip zelf, of gebruiken collega's het om bijlagen, downloads of archieven van klanten uit te pakken, controleer dan vandaag nog de versie op elke werkplek. Zet de update ook op de agenda voor apparaten die je beheert voor klanten of familie: 7-Zip staat vaak stilletjes op de achtergrond geïnstalleerd, zonder dat iemand er nog naar omkijkt. Spreek binnen je bedrijf af dat archiveringssoftware standaard meegenomen wordt bij software-updates, in plaats van alleen te vertrouwen op wat automatisch bijwerkt.

Wat dit betekent voor jouw bedrijf

Dit soort lekken laat opnieuw zien dat niet alleen je website of webshop aandacht nodig heeft, maar ook de gewone programma's waarmee jij en je medewerkers dagelijks werken. Een enkel verouderd programma zonder automatische updates kan al genoeg zijn om een waarschuwing te omzeilen die juist bedoeld is om je te beschermen. Wil je dat iemand structureel bijhoudt welke software bij jou en je team updates nodig heeft, ook buiten je website om? De dienst website-onderhoud van Infotrends houdt dit soort kwetsbaarheden voor je in de gaten. Meer nieuws over beveiligingslekken en updates voor ondernemers vind je op onze nieuwspagina.

Bronnen: Security.NL en GitHub Advisory Database.