Das Archivtool 7-Zip ist in Version 26.04 erschienen und behebt nach Angaben des Entwicklers Igor Pavlov „einige Bugs und Sicherheitslücken". Welche Lücken das konkret sind, verrät die Ankündigung nicht – weder CVE-Nummern noch Schweregrade werden genannt. Betroffen sind alle Nutzer, die noch eine ältere Ausgabe einsetzen, unter Windows, Linux und macOS. Ein automatisches Update sieht 7-Zip bis heute nicht vor.
7-Zip 26.04: Ein Satz Release Notes, viele offene Fragen
Der vollständige Änderungseintrag im offiziellen Ankündigungsthread lautet: „What’s new in 7-Zip 26.04: Some bugs and vulnerabilities were fixed." Mehr steht dort nicht.
Die deutschsprachige Einordnung des Updates spricht von „bisher nicht näher beschriebenen" Sicherheitslücken und ebenso knapp beschriebenen Fehlerkorrekturen. Auch die chronologische Release-Übersicht führt für 26.04 keine CVE-Zuordnung. Damit lässt sich die Dringlichkeit des Updates nicht sauber priorisieren – wer wissen will, ob eine ausgenutzte Lücke dabei ist, bekommt keine Antwort. 26.04 als „kritisch" einzustufen wäre angesichts der dünnen Faktenlage allerdings genauso unseriös: Es gibt schlicht keine Einstufung.
Für die Praxis bleibt es bei der Grundregel, die für Archivsoftware seit Jahren gilt: Ein Update, das pauschal „Sicherheitslücken" schließt, wird eingespielt, sobald es verfügbar ist. Der Aufwand ist gering, das Risiko einer versäumten Aktualisierung dagegen nicht kalkulierbar.
Kein Auto-Updater: 26.04 muss manuell eingespielt werden
Verfügbar ist 26.04 für Windows (x64, x86, ARM64), als 7-Zip Extra mit Konsole, 7z-DLL und Far-Manager-Plugin, für Linux (x86-64, x86, ARM64, ARM) sowie für macOS (ARM64 und x86-64). Die Downloads laufen über die GitHub-Release-Pfade des Projekts.
Für Integritätsprüfungen nennt die Ankündigung SHA-256-Checksummen, die laut einer Antwort von Igor Pavlov auf der Release-Seite bereitstehen – ein Hinweis, der sich aus dem Ankündigungsthread ergibt und nicht aus einer eigenen Verifikation der Release-Seite.
Der eigentliche Schwachpunkt bleibt der Update-Weg selbst: 7-Zip hat keinen Auto-Updater. Wer die Software manuell installiert hat, muss selbst nachziehen; in Firmenumgebungen läuft das über Softwareverteilung oder Paketmanager wie winget. Genau diese Lücke zwischen Bekanntwerden und Einspielen macht Archivtools historisch interessant für Angreifer – dieselbe Mechanik wie bei anderen Werkzeugen ohne Update-Zwang.
Update-Historie: CVE-2026-14266, CVE-2026-58052 und die Lehre daraus
Die Vorgeschichte zeigt, warum das Muster ernst zu nehmen ist. Version 26.02 vom 25. Juni 2026 schloss CVE-2026-14266, einen Heap-Buffer-Overflow in der XZ-Dekomprimierung mit möglicher Remote-Code-Execution. Der CVSS-Score lag bei 7.0 von 10, die Lücke erforderte Nutzerinteraktion und wurde über die Zero Day Initiative offengelegt; entdeckt hatte sie Landon Peng. Eine aktive Ausnutzung wurde nicht gemeldet, wie die Analyse zur 26.02-Lücke festhält.
Version 26.03 vom 3. September 2026 behob CVE-2026-58052, eine Mark-of-the-Web-Bypass-Schwachstelle beim Extrahieren eines manipulierten RAR5-Archivs. Betroffen waren laut dem Advisory zur Mark-of-the-Web-Lücke Windows-Versionen bis einschließlich 26.02, der Schweregrad lag bei „Moderate" mit CVSS 4.8. Technisch knifflig: NTFS kanonisiert eine :Zone.Identifier:$DATA-Record und überschreibt damit die Internet-Zonen-Markierung, eine zweite ::$DATA-Record kann zusätzlich den Standard-Datenstrom verdrängen. Der Nutzer verliert dabei die Warnung, die Windows vor heruntergeladenen Dateien eigentlich anzeigt.
Schon 26.01 vom 27. April 2026 hatte mehrere CVEs in verschiedenen Archive-Handlern geschlossen, darunter SquashFS, NTFS, UEFI, UDF, WIM und Ar.
Das ergibt ein klares Muster: 7-Zip ist regelmäßig Ziel sicherheitsrelevanter Funde, und die Angriffsfläche liegt fast immer in der Verarbeitung fremder Archive – also genau in dem Szenario, für das das Tool täglich benutzt wird. Dass der Mark-of-the-Web-Schutz ausgehebelt werden kann, wiegt dabei schwerer als der moderate Score vermuten lässt, weil diese Markierung die zentrale Bremse gegen präparierte Download-Archive ist.
Version prüfen und aktualisieren
Ob eine Installation betroffen ist, lässt sich schnell feststellen: Im 7-Zip File Manager zeigt der Menüpunkt „Hilfe > Über 7-Zip" die Versionsnummer an, auf der Kommandozeile gibt 7z.exe die Version ebenfalls aus. Alles unter 26.04 ist eine ältere Ausgabe.
Der Update-Weg ist unspektakulär: Paket aus offizieller Quelle laden, SHA-256 prüfen, installieren. Auf Systemen mit winget genügt ein winget upgrade 7zip.7zip. Wer 7-Zip in Unternehmensimages verteilt, sollte die neue Version zeitnah in die Softwareverteilung aufnehmen – ohne Auto-Updater passiert das nicht von allein.
Fazit: Pflicht-Update mit Restunsicherheit
26.04 gehört zügig eingespielt, auch wenn unklar bleibt, was genau geschlossen wurde. Die Kombination aus intransparenten Release Notes und fehlendem Auto-Updater ist die eigentliche Schwachstelle dieser Meldung: Nutzer müssen blind vertrauen, dass das Update nötig ist – und selbst aktiv werden. Offen bleibt, ob und wann der Entwickler die konkreten Lücken, CVE-Nummern und Schweregrade nachliefert. Bis dahin gilt: installieren, Version prüfen, Verteilung im Blick behalten.