7-Zip: تحديث إجباري يغلق ثغرة تنفيذ تعليمات عن بُعد

مقدمة تحليلية

صدر الإصدار 26.02 من برنامج 7-Zip في 25 يونيو 2026، لمعالجة ثغرة أمنية حرجة تتيح تنفيذ تعليمات عن بُعد (RCE). تُمكّن هذه الثغرة المهاجمين من تنفيذ تعليمات برمجية خبيثة عبر إقناع المستخدمين بفتح ملفات مضغوطة مُصممة خصيصاً. الثغرة، التي كشف عنها الباحث لاندون بينج من Lunbun، تتجسد في طريقة معالجة 7-Zip لبيانات XZ المضغوطة. وفقاً لإشعار صادر عن Zero Day Initiative (ZDI-26-444) في يوليو 2026، يمكن أن تؤدي بيانات XZ مُعدّة بشكل خاص إلى تجاوز سعة المخزن المؤقت المستند إلى الكومة (heap-based buffer overflow)، مما يسمح للمهاجمين بتنفيذ تعليمات برمجية عشوائية بصلاحيات المستخدم. برنامج 7-Zip، بصفته أداة ضغط وفك ضغط ملفات منتشرة على نطاق واسع في أنظمة التشغيل Windows، يمثل هدفاً ذا قيمة عالية للجهات الخبيثة، خاصة وأن آلية التحديث فيه تتطلب تدخلاً يدوياً كاملاً من المستخدم، مما يؤخر تطبيق الإصلاحات الأمنية الضرورية.

التحليل التقني

تكمن المشكلة التقنية الجذرية في معالجة 7-Zip لبيانات XZ المضغوطة. على الرغم من أن المطور لم ينشر تفاصيل تقنية دقيقة حول الثغرة، إلا أن التغييرات في الشيفرة المصدرية للإصدار 26.02 تشير إلى ارتباطها بكيفية تتبع 7-Zip للمساحة المتاحة أثناء فك ضغط بيانات XZ. يضيف التصحيح الجديد فحوصات صارمة لضمان عدم تمكن برنامج فك التشفير من الكتابة خارج المساحة المتبقية المتاحة في المخزن المؤقت للإخراج، مما يحول دون حدوث تجاوز سعة المخزن المؤقت المستند إلى الكومة. هذا التجاوز هو آلية كلاسيكية تستغلها الثغرات الأمنية للتحكم في تدفق البرنامج وتنفيذ تعليمات برمجية عشوائية. يتطلب استغلال هذه الثغرة تفاعلاً من المستخدم، مثل زيارة صفحة ويب خبيثة أو فتح ملف أرشيف ضار مُرسل عبر حملة تصيد أو هندسة اجتماعية. تؤدي عملية الفتح أو المعالجة هذه إلى تفعيل الثغرة وتنفيذ التعليمات الخبيثة بصلاحيات المستخدم الحالي للنظام، مما يمنح المهاجم سيطرة جزئية أو كاملة على الجهاز المستهدف. حتى تاريخه، لا توجد تقارير تشير إلى استغلال نشط لهذه الثغرة المحددة (ZDI-26-444) في هجمات فعلية، لكن تاريخ استهداف برامج الأرشفة يحتم الحذر.

السياق وتأثير السوق

برنامج 7-Zip هو أحد أكثر أدوات الأرشفة استخداماً على نظام التشغيل Windows، مما يجعله نقطة دخول جاذبة للجهات التهديدية. تتجاوز أهمية هذا التحديث مجرد الإصلاح التقني؛ إنها تسلط الضوء على فشل هيكلي في نموذج توزيع البرنامج. لا يتضمن 7-Zip ميزة التحديث التلقائي، مما يعني أن المستخدمين لن يتلقوا الإصلاح الأمني تلقائياً. بدلاً من ذلك، يجب عليهم تثبيت الإصدار الأخير يدوياً عن طريق تنزيله من الموقع الرسمي 7-zip.org. هذا النهج يضع عبء حماية الأنظمة بالكامل على عاتق المستخدم الفردي، مما يؤدي إلى تأخر كبير في انتشار التحديثات وترك قاعدة مستخدمين واسعة عرضة للهجمات. لم تكن ثغرات برامج الأرشفة مجرد تهديدات نظرية في الماضي؛ فقد تم استغلالها بفاعلية. في أوائل عام 2025، استغلت مجموعة قراصنة روسية ثغرة في 7-Zip سمحت بتجاوز ميزة Mark of the Web (MotW) الأمنية في Windows، في هجمات صفرية ضد أوكرانيا. في أواخر العام نفسه، استغلت مجموعة قرصنة روسية أخرى ثغرة في WinRAR (المسماة CVE-2025-8088) عبر هجمات تصيد لتثبيت برمجية RomCom الخبيثة. هذه السوابق تؤكد أن الثغرة الحالية، رغم عدم استغلالها النشط بعد، تمثل تهديداً ملموساً يتطلب استجابة فورية من قاعدة المستخدمين.

رؤية Glitch4Techs

إن الكشف عن ثغرة RCE في 7-Zip، مع سجل حافل باستغلال برامج الأرشفة، لا يمثل فشلاً أمنياً تقنياً فحسب، بل يشكل فشلاً تشغيلياً حاسماً تفاقمه طبيعة توزيع البرنامج. إن الافتقار إلى آلية تحديث تلقائية في أداة بهذا الانتشار والتأثير، وذات امتيازات وصول نظامية واسعة، هو إهمال صارخ لمعايير الأمن السيبراني الحديثة. هذا التصميم يلقي بمسؤولية الحماية بالكامل على المستخدمين النهائيين، الذين يفتقرون تاريخياً إلى القدرة على تطبيق التصحيحات الأمنية بشكل استباقي ومستمر. هذا القصور يعرض ملايين الأنظمة لخطر غير ضروري وغير مبرر لفترة طويلة بعد توفر التصحيح، مما يجعل الثغرة في 7-Zip مشكلة مستمرة في مشهد التهديدات الرقمية.