近日，开源压缩工具7-Zip被曝存在两个高危安全漏洞，攻击者可利用恶意构造的ZIP文件，在用户打开时执行任意代码，从而对系统造成威胁。

这两个漏洞编号分别为CVE-2025-11001和CVE-2025-11002，由安全研究机构Zero Day Initiative于10月7日披露。其CVSS基础评分均为7.0，属于高风险等级。尽管相关修复工作早在7月已完成，但具体细节直至本周才对外公布。

漏洞成因在于7-Zip处理ZIP归档中符号链接的方式存在缺陷。攻击者可借此创建特殊文件结构，突破解压路径限制，将文件写入系统任意目录。若两个漏洞协同使用，可在用户权限范围内实现远程代码执行，对Windows平台构成严重安全风险。

根据披露信息，成功利用漏洞需用户参与，但操作门槛极低——仅需打开或解压一个受控文件即可触发。随后，攻击者可通过符号链接实现路径穿越，在关键系统位置写入恶意内容，进而操控程序运行流程。

7-Zip开发者Igor Pavlov已于7月5日发布25.00版本，全面修复上述问题，并同步优化了RAR与COM格式的处理逻辑。目前最新的稳定版本为8月推出的25.01版。

由于该软件未配备自动更新功能，用户需手动完成版本升级，导致大量使用者仍停留在旧版，包括广泛流传的便携版本，进一步扩大了潜在受攻击面。

为避免安全风险，建议所有用户立即通过最新渠道获取并安装25.01或更高版本，确保软件处于最新状态。