近日，壓縮工具7-Zip被曝出一個高風險漏洞（CVE-2025-0411），該漏洞允許攻擊者繞過Windows的安全功能「網路標記」（Mark of the Web），從而在用戶解壓惡意檔案時執行惡意程式碼。

自2022年6月起，7-Zip從22.00版本開始支援MotW功能，會自動為從下載的壓縮包中提取的檔案添加MotW標記。

此標記會告知作業系統、網路瀏覽器和其他應用程序，這些檔案可能來自不受信任的來源，應謹慎處理。

例如，當雙擊具有MotW標記的可執行文件時，使用者會收到安全警告，Microsoft Office也會以「保護視圖」開啟文檔，停用巨集等功能。

不過Trend Micro的報告指出，7-Zip有一個安全漏洞，當使用者從帶有MotW標記的嵌套壓縮包中解壓縮檔案時，7-Zip未能將MotW標記傳遞給提取的檔案。

攻擊者可以利用此漏洞，製作帶有惡意檔案的特殊壓縮包，繞過安全警告並直接執行惡意程式碼。

7-Zip開發者Igor Pavlov已於2024年11月29日發布24.09版本，修復了漏洞。但由於7-Zip沒有自動更新功能，許多用戶可能仍在執行易受攻擊的版本，建議盡快手動更新至7-Zip 24.09版本，以修復此漏洞。