7-Zipの脆弱性は、細工されたアーカイブを「開く・展開する」ことで発動するものがほとんどです。7-Zipを入れているだけで外部から攻撃されるわけではありません。ただし7-Zipには新しい版を自動で入れ替える更新機能がないため、古い版が残っているPCでは、修正済みの脆弱性がそのまま残ります。
2026年10月24日時点の最新版は26.05（2026年10月21日公開）です。9月の26.03のあと、10月5日に26.04、10月21日に26.05が出ており、どちらも公式の変更履歴（history.txt）に「脆弱性を修正した」と書かれています。この記事では、history.txt、NVD、CISAのKEVカタログ、公式GitHubリポジトリのソースと版間の差分を突き合わせ、どの版で何が直ったのか、何から手を付けるべきかを整理します。
まとめ：7-Zip脆弱性への対処は「26.05へ更新」と「Zone.Id伝達の設定」
- 最新版は26.05です。26.04と26.05はCVE番号が公表されていませんが、どちらも脆弱性の修正を含みます。26.03で止まっている環境も更新対象です。
- CVE番号が付いた修正は26.03までです。26.03では、MotWが消えるCVE-2026-58052に加え、10月14日にCVEが公開されたSquashFSのCVE-2026-104086も直っています。CVEは修正版より後に出ることがあるので、番号の公表を待たずに更新してください。
- CISAのKEVカタログ（2026年10月23日版）で「悪用確認済み」とされている7-Zipの脆弱性は、CVE-2025-0411の1件だけです。CVE-2025-11001の「実環境で悪用」という報道は、発信元のNHS Englandが2025年11月20日に撤回しています。
- 7-Zipは初期設定のままだと、展開したファイルにインターネット由来の印（Mark-of-the-Web）を引き継ぎません。「Zone.Id ストリームの伝達」を「はい」にしてください。
- 7-Zipは拡張子ではなく中身のシグネチャで形式を判定します。サーバーで自動展開しているなら、更新に加えて
-tで形式を固定するか、-stxで使わない形式を外してください。
7-Zipの主要CVEと修正版の一覧（2024〜2026年）
history.txtに載っているCVEと、修正版の公開後にNVDへ登録されたもの、それ以前に広く報じられたものを、修正された版の新しい順に並べました。CVSSは断りがない限りNVDの採点で、NVDが採点していないものは採番機関の値です。
| CVE | 対象の処理 | 種類 | 修正版 | CVSS v3.1 | KEV登録 |
|---|---|---|---|---|---|
| 番号未公表 | 未公表 | 未公表 | 26.05 | なし | なし |
| 番号未公表 | 未公表 | 未公表 | 26.04 | なし | なし |
| CVE-2026-104086 | SquashFS | 未初期化メモリの漏えい | 26.03 | 5.5（VulnCheck） | なし |
| CVE-2026-58052 | RAR5（Windows） | MotWの消失 | 26.03 | 3.3（VulnCheck） | なし |
| CVE-2026-14266 | XZ | ヒープオーバーフロー | 26.02 | 7.8 | なし |
| CVE-2026-48095 | NTFS | ヒープオーバーフロー | 26.01 | 8.8（GitHub） | なし |
| CVE-2025-55188 | シンボリックリンク | リンク処理の不備 | 25.01 | 3.6（MITRE） | なし |
| CVE-2025-11001 / 11002 | ZIPのシンボリックリンク | ディレクトリトラバーサル | 25.00 | 7.8 | なし |
| CVE-2025-53816 / 53817 | RAR5・Compound | サービス拒否 | 25.00 | 7.5 | なし |
| CVE-2025-0411 | 入れ子のアーカイブ | MotWの回避 | 24.09 | 7.0 | 2025-02-06 |
| CVE-2024-11477 | Zstandard | 整数アンダーフロー | 24.07 | 7.8 | なし |
26.01では、CVE-2026-48095のほかにSquashFS・UEFI・UDF・WIM・Arの各形式の読み取り系CVEが7件まとめて修正されています。どの行から見ても、26.05より古い版には何らかの修正漏れが残ります。
7-Zip脆弱性の対応優先度：ユーザー操作の要否と悪用実績による判断
CVSS 7.8のCVE-2026-14266やCVE-2025-11001のベクターは AV:L/AC:L/PR:N/UI:R です。攻撃元区分がローカル（AV:L）、ユーザーの操作が必要（UI:R）で、ネットワーク越しに勝手に侵入される種類ではありません。スコアの読み方はCVSSv3の計算式とスコアの目安で詳しく扱っています。
一方、CVE-2025-53816と53817には、NVDが AV:N/UI:N（ネットワーク経由・操作不要）の7.5を付けています。ただし公表資料が示す影響はメモリ破損やアプリの停止（DoS）で、任意コード実行は示されていません。採番したGitHubの採点はCVSS v4.0で5.5です。採点機関によって数字がずれるので、スコアだけで順番を決めず、「誰がどこから届いたファイルを開くか」と「KEVに載っているか」で判断してください。
26.04・26.05の修正内容：CVE番号未公表の脆弱性と変更された処理
history.txtの記載は、26.04（2026年10月5日）が「Some bugs and vulnerabilities were fixed.」の1行だけです。26.05（2026年10月21日）は、これに「Improved code for unpacking Z archives and Mach-O files.」が加わります。窓の杜の10月7日の記事も、26.04の時点で脆弱性の内容とCVE番号は公表されていないと伝えています。
中身を知る手がかりは、作者が公開している公式GitHubリポジトリ（ip7z/7zip）の版ごとのタグです。タグ同士を比べると、どの処理のコードに手が入ったかが分かります。26.03と26.04の差分、26.04と26.05の差分のうち、変更の大きいファイルは次のとおりです。
| 版 | 変更の大きい処理（ソースファイル） | 追加行／削除行 |
|---|---|---|
| 26.04 | NTFS（NtfsHandler.cpp） | +833／-794 |
| 26.04 | WIM（WimIn.cpp ほか4ファイル） | +856／-636（WimIn.cpp） |
| 26.04 | VHD（VhdHandler.cpp） | +405／-266 |
| 26.04 | ISO・NSIS・ZIP | +41／-16、+35／-31、+32／-26 |
| 26.05 | Mach-O（MachoHandler.cpp） | +602／-271 |
| 26.05 | Z形式（ZDecoder.cpp・ZHandler.cpp） | +329／-172、+48／-65 |
| 26.05 | ZIPのShrink展開（ShrinkDecoder.cpp） | +184／-138 |
変更の行数は、脆弱性の場所を示すものではありません。整理のための書き直しも同じ差分に入ります。それでも、26.01でCVE-2026-48095が見つかったNTFS処理が26.04で再び大きく書き直され、26.05でもNTFSに数行の修正が入っています。NTFSやWIMのディスクイメージを日常的に開く用途がないなら、後述の -stx でこれらの形式を外しておく判断には十分な材料です。
CVE番号は、修正版の公開から遅れて付くことがあります。実例が次の章のCVE-2026-104086で、26.03（9月3日）で直っていたのに、CVEとして公開されたのは10月14日でした。26.04・26.05の分も後から番号が付く可能性があるため、番号が出るのを待たずに26.05へ上げてください。
CVE-2026-48095：NTFSハンドラーのヒープオーバーフローの仕組み
CVE-2026-48095は、GitHub Security Lab（GHSL）のJaroslav Lobačevski氏が見つけた、NTFSディスクイメージを読む処理の脆弱性です。GHSLのアドバイザリ（GHSL-2026-140）によれば、2026年4月24日に開発者へ報告され、3日後の4月27日に修正版の26.01が公開されました。影響を受けるのは26.00以前です。
原因は、圧縮単位のバッファサイズを (UInt32)1 << (BlockSizeLog + CompressionUnit) で計算している箇所です。細工したイメージでシフト量を32にすると、C++では未定義動作になり、x86/x64では確保されるバッファが1バイトになります。そこへ最大256MBのデータが書き込まれます。GHSLの検証ビルドでは304バイト後方のオブジェクトの仮想関数テーブルへのポインタが上書きされ、任意コード実行につながる可能性が示されています。
GHSLによれば、未修正の32ビット版ではこの書き込みに必ず到達します。64ビット版では同時に8GBの確保が成功した場合に限られ、失敗するとアプリの停止で終わります。どちらのビット数でも更新が必要で、64ビットWindowsに32ビット版が入っている端末は、26.05へ上げる際に64ビット版を選んでください。
NTFSハンドラーは既定で有効で、ファイル先頭からオフセット3（4バイト目）にある「NTFS」と4つの空白のシグネチャで形式を判定します。26.05のコンソール版で 7zz i を実行すると、形式一覧に NTFS ntfs img offset=3 N T F S 20 20 20 20 00 と出ます。GHSLのアドバイザリにも、拡張子に関係なく展開・テストの際に開かれると書かれています。.zip や .7z の名前が付いていても、中身がNTFSイメージなら同じ処理を通ります。アドバイザリには再現用のイメージを作るPythonスクリプトも載っており、検証用の材料は誰でも手に入ります。
26.02・26.03で修正された3件のCVEの影響と更新対象
2026年6月以降の報道はCVE-2026-48095に集中しましたが、その後の版でもCVE番号付きの脆弱性が修正されています。26.01へ更新した時点で対応を終えた環境は、以下の3件が残っています。
CVE-2026-14266：XZ展開のヒープオーバーフロー（26.02で修正）
2026年6月25日の26.02で修正されました。Zero Day Initiative（ZDI-26-444）が報告したもので、XZ形式の分割データを処理する部分でヒープ上のバッファがあふれ、細工したXZデータを開くとコードを実行される可能性があります。NVDのCVSSは7.8、ZDIの採点は7.0です。XZは .tar.xz としてLinux向けのソース配布物でよく使われる形式なので、開発者のPCで開く機会は少なくありません。
CVE-2026-58052：RAR5のADS名でMotW消失（26.03で修正）
2026年9月3日の26.03で修正されました。7-Zipには、アーカイブ内にある Zone.Identifier という名前のデータを無視して、インターネット由来の印を守る処理があります。この処理は名前の完全一致で判定していたため、RAR5アーカイブに :Zone.Identifier:$DATA という名前を入れると判定をすり抜けます。NTFSはこれを同じストリームとして扱うので、印が ZoneId=0 に書き換えられてしまいます。
NVDの説明文は「Windows版の26.01まで」のままですが、NVDが10月7日に付けた影響範囲は「26.03より前」で、修正が変更履歴に載ったのも26.03です。26.02も更新対象です。VulnCheckの採点はCVSS v3.1で3.3と低めですが、SmartScreenの警告を消してファイルの中身まで差し替えられる点は、後述の設定と合わせて考える必要があります。
CVE-2026-104086：SquashFSの未初期化メモリ漏えい（26.03で修正）
VulnCheckが2026年10月14日に公開したCVEで、NVDの説明は「7-Zip before 26.03」です。SquashFS v4イメージのスーパーブロックにある no_ids の値を細工すると、最後のメタデータブロックの大きさの計算がずれてサイズ検査をすり抜けます。そのアーカイブを一覧表示・展開すると、初期化されていないヒープの中身がユーザーIDとグループIDの欄に出てきます。
VulnCheckの採点はCVSS v3.1で5.5、v4.0で6.8で、影響はメモリの中身の読み出し（機密性）に限られます。history.txtの26.03の項にはこの番号が載っていないので、変更履歴だけを見て「26.03のCVEは1件」と数えると漏れます。
7-ZipのMark-of-the-Web伝達：初期設定と変更手順
MotW（Mark-of-the-Web）は、インターネットから入手したファイルに付く Zone.Identifier という印です。SmartScreenやOfficeの保護ビューはこの印を判定に使います。ただし警告や保護ビューが出るかどうかは、ファイルの評価、種類、信頼設定、組織のポリシーにも左右されます。CVE-2025-0411とCVE-2026-58052は、7-Zipで展開したファイルからこの印が外れてしまう脆弱性でした。
ところが、7-Zip 26.05のソースを読むと、初期設定ではそもそも印を引き継いでいません。展開の既定値は ZoneMode(NExtract::NZoneIdMode::kNone) で、この値のときはアーカイブ側の印を読み込む処理自体が呼ばれません。設定画面でも「いいえ」が既定値です。つまり初期設定のままだと、ダウンロードしたZIPから取り出した実行ファイルやOffice文書には、脆弱性がなくても最初から印が付きません。MotW回避の脆弱性が直っていても、この設定が「いいえ」のままでは、MotWを使う保護は働きません。
設定は、7-Zip File Managerの「ツール」→「オプション」→「7-Zip」タブにある「Zone.Id ストリームの伝達」で変えます。選択肢は「いいえ」「はい」「Office ファイルの場合」の3つです。
- 「はい」：展開したすべてのファイルにアーカイブの印を引き継ぎます。個人のPCも含め、基本はこちらです。
- 「Office ファイルの場合」：Officeの拡張子を持つファイルだけに引き継ぎます。実行ファイルにはこの設定によるMotWの伝達が行われません。実行ファイルも保護対象に含める場合は「はい」を選んでください。
- コマンドラインの
7z.exeでは-snzスイッチを付けると引き継ぎます（-snz2はOfficeファイルのみ、-snz0は引き継がない）。
この機能は2022年6月の22.00で追加されたもので、それより古い版には設定自体がありません。組織で配布している場合は、端末ごとの設定に任せず、配布時の手順に含めてください。
2025年に修正されたシンボリックリンク系とDoS系の脆弱性
CVE-2025-11001／11002：ZIP内シンボリックリンクの展開先外書き込み
ZIPファイルに含まれるシンボリックリンクの扱いに不備があり、細工したZIPを展開すると、指定した展開先の外にファイルを書き込まれるディレクトリトラバーサルです。25.00（2025年7月5日）で修正されました。ZDIへの報告は2025年5月2日、公表は10月7日です。攻撃の仕組みはディレクトリトラバーサルの攻撃の仕組みと正規化後検証による対策で解説しています。
2025年11月、NHS Englandのサイバー注意喚起（CC-4719）が「実環境で悪用されている」と書き、多くのニュースがそれを引用しました。しかしNHS Englandは11月20日に注意喚起を改訂し、悪用は確認しておらず、誤って記載した悪用の記述を削除したと明記しています。確認されているのは実証コード（PoC）の公開までで、CISAのKEVにも登録されていません。
CVE-2025-55188：25.00の修正後に残ったシンボリックリンクの問題
25.00のあとも、展開時のシンボリックリンクの扱いに別の不備が見つかり、25.01（2025年8月3日）でリンクを作るときの既定の安全検査が強化されました。変更履歴には、この検査を外す -snld20 スイッチも書かれていますが、信頼できないアーカイブに対して使うべきではありません。
CVE-2025-53816／53817：RAR5・Compound処理のサービス拒否
GitHub Security Labが報告した2件で、25.00で修正されました。53816はRAR5の処理でヒープ領域の外にゼロを書き込み、53817はCompound形式（旧来のOffice文書などが使う形式）でNULLポインタを参照してアプリが停止します。GitHubの説明は「メモリ破損とサービス拒否」までで、コード実行は示されていません。
インストール済み7-Zipのバージョンを画面とコマンドで確認する方法
画面から確かめる場合は、7-Zip File Managerの「ヘルプ」→「バージョン情報」を開きます。複数台を調べる場合や、画面を開かずに確かめたい場合は、次のいずれかをPowerShellで実行します。
# 7z.exe のファイルバージョンを読む（64ビット版の既定の場所）
(Get-Item "C:\Program Files\7-Zip\7z.exe").VersionInfo.ProductVersion
# winget に登録されている版と、更新の有無を表示する
winget list --id 7zip.7zip7z.exe を引数なしで実行した場合も、冒頭に 7-Zip 26.05 (x64) のように版と64ビット版かどうかが表示されます。(x86) と出たら32ビット版です。64ビットWindowsでは64ビット版へ移行し、32ビットWindowsでは32ビット版の26.05へ更新してください。
見落としやすいのは、C:\Program Files (x86)\7-Zip に残った32ビット版と、インストーラを使わずにフォルダごとコピーして使っている7-Zipです。フォルダごとコピーしたものはインストール済みアプリとして登録されず、wingetの一覧に出ません。組織で棚卸しするときは 7z.exe と 7z.dll のファイル名でディスクを検索してください。
7-Zip最新版26.05への更新手順と公式配布元・複数台への適用方法
公式サイト7-zip.orgと公式GitHubからの入手・偽サイトの見分け方
7-Zipの公式サイトは 7-zip.org です。2026年10月24日時点で、公式サイトのダウンロードページにあるリンクは、作者の公式GitHubリポジトリ github.com/ip7z/7zip のリリースに置かれたファイルを指しています。x64版Windowsなら「64-bit Windows x64」、ARM64版Windowsなら「64-bit Windows arm64」の .exe を選び、既存の版の上からそのまま上書きインストールします。
GitHubのリリース画面には、ファイルごとにSHA-256が表示されます。26.05のx64版 7z2605-x64.exe の値は fd99e86f57d8f429ef5ed045bf98315af962e2309b0f1ba87a147a44c71647d0 で、wingetのマニフェストに登録された値とも一致しました。ダウンロードしたファイルは次のコマンドで照合できます。
# ダウンロードしたインストーラのSHA-256を表示する（大文字で出るが、値が同じなら一致）
(Get-FileHash .\7z2605-x64.exe -Algorithm SHA256).Hashハイフンのない 7zip.com は公式ではありません。Malwarebytesは2026年2月9日、このドメインが本物の7-Zipにプロキシ化マルウェアを同梱したインストーラを配っていたと報告しています。インストーラは失効済みの証明書で署名され、7-Zip自体は普通に動くため、使っていても気付きにくい手口でした。YouTubeの解説動画がこのドメインを案内していた例もあるので、検索結果や動画のリンクから入手しないでください。
7-Zipの複数台更新：wingetとサイレントインストール
Windows 10／11のwingetには、パッケージID 7zip.7zip で26.05が登録されています（winget-pkgsへの登録は2026年10月21日）。次のコマンドで更新できます。
winget upgrade --id 7zip.7zip --exact --silent配布ツールからインストーラを直接実行する場合、公式FAQが案内するオプションは、exe形式なら /S（サイレント）と /D="C:\Program Files\7-Zip"（インストール先）で、大文字と小文字を区別します。MSI形式なら /q INSTALLDIR="C:\Program Files\7-Zip" です。wingetを使った全社配布の組み立て方はPowerToysを全社展開する手順：winget配布とGPO・Intuneでの機能制御が参考になります。
組織での7-Zip脆弱性対応：自動展開での形式の固定と更新・設定管理
7-Zipの脆弱性で最も影響が大きいのは、外部から受け取ったファイルをサーバーやスクリプトで自動展開している環境です。人が開くPCと違って、攻撃者は開かせる工夫をする必要がありません。更新が済むまでは、信頼できない送信元のアーカイブの自動展開を止めてください。
-tによる受け付け形式の固定
更新後も、-t スイッチで受け付ける形式を固定すると、想定外の形式の処理に入る経路を減らせます。7-Zip 26.05のmacOS向けコンソール版（7zz）で、tar形式のアーカイブを fake.zip という名前で作り、空のフォルダで展開したときの出力です（... は省略）。
$ 7zz x ../fake.zip
Extracting archive: ../fake.zip
WARNING:
../fake.zip
Cannot open the file as [zip] archive
The file is open as [tar] archive
...
Everything is Ok
Archives with Warnings: 1
$ echo $?
0
$ 7zz x -tzip ../fake.zip
Extracting archive: ../fake.zip
ERROR: ../fake.zip
../fake.zip
Open ERROR: Cannot open the file as [zip] archive
...
Can't open as archive: 1
$ echo $?
2-t を付けないと、警告は出るものの拡張子と違う形式として展開され、終了コードも0のままです。終了コードで成否を判定しているスクリプトは、この警告に気付きません。ZIPしか受け取らない処理なら -tzip を明示してください。
-stxによる不要な形式のハンドラー除外
複数の形式を受け付けるため -t で1つに絞れない処理では、-stx（形式の除外）を使います。26.05に同梱のマニュアルは、このスイッチを「指定した形式に関するコードを無効にし、その形式ではアーカイブを開けなくする」と説明しており、複数回の指定もできます。同じ fake.zip に -stxtar を付けると、tarとして開かれず終了コード2で止まりました。
# NTFS・WIM・VHD・SquashFSのイメージとして開かせない（形式名は 7z i の一覧で確認）
& "C:\Program Files\7-Zip\7z.exe" x -stxntfs -stxwim -stxvhd -stxsquashfs upload.bin -oC:\work\outディスクイメージ系は、CVE-2026-48095（NTFS）、CVE-2026-104086（SquashFS）、26.01のWIMのCVE、26.04の大きな書き直し（NTFS・WIM・VHD）と、2026年の修正が集中した処理です。業務で扱わないなら外しておく価値があります。
7-ZipのバージョンとMotW設定の集中管理
- 7-Zipの版を資産管理ツールやwingetで定期的に集計し、26.05未満を洗い出す
- history.txtを定期的に確認する。CVE番号が無くても「vulnerabilities were fixed」とあれば配布期限を決め、外部入力を自動処理するサーバーから先に更新する
- 配布手順に「Zone.Id ストリームの伝達」を「はい」にする設定を含める
版を集中管理できないなら、7-Zipを標準の展開ツールとして配るべきではありません。Windows 11のエクスプローラーも7zやRARを展開できますが、Windowsに組み込まれたlibarchiveにもリモートコード実行の脆弱性（CVE-2024-26256、CVSS 7.8、2024年4月の月例更新で修正）がありました。どちらを選んでも脆弱性は出ます。違いは、Windows Updateで自動的に直るか、自分で版を上げるかです。外部から受け取ったファイルを自動処理するシステムの作りや設定に同じ種類の穴が無いかを確かめたい場合は、脆弱性診断・セキュリティ診断で第三者に点検してもらう方法があります。
よくある質問
7-Zipは危険なので削除したほうがよいですか？
削除する必要はありません。脆弱性は細工されたファイルを開いたときに発動するもので、26.05へ更新すると、本記事の一覧の修正がすべて適用されます。危険なのは、古い版を放置することと、公式ではない 7zip.com などから入手することです。
26.03に更新済みなら安全ですか？
CVE番号の付いた修正（CVE-2026-58052・CVE-2026-104086まで）は入っています。一方、26.04と26.05にも脆弱性の修正が含まれ、その詳細や影響を受ける版の範囲は公表されていません。26.05まで上げてください。26.01で止まっている場合は、XZ展開のCVE-2026-14266（26.02で修正）も残っています。
CVE-2026-48095の実証コード（PoC）は公開されていますか？
GitHub Security Labのアドバイザリ（GHSL-2026-140）に、再現用のNTFSイメージを作るPythonスクリプトが載っています。ただし、2026年10月23日版のCISA KEVには登録されていません。KEVに載っていないことだけで、実環境での悪用がないとは判断できません。
7-Zipにウイルスが入っていることはありますか？
公式サイトの 7-zip.org と、そこからリンクされた公式GitHubのリリースから入手したものであれば、ウイルスの同梱は報告されていません。2026年に問題になったのは、偽サイトの 7zip.com が配っていたインストーラで、本物の7-Zipにプロキシ化マルウェアが同梱されていました。不安ならSHA-256をリリース画面の値と照合してください。
7-Zipは自動で更新されますか？
されません。新しい版は自分で公式サイトから入手するか、winget upgrade --id 7zip.7zip で更新します。組織では資産管理ツールやwingetによる配布の仕組みで版をそろえてください。
