7-Zip 26.02: RCE-Lücke geschlossen — so prüfen Sie Ihre Version

7-Zip gehört auf vielen Windows-Systemen zur Standardausstattung — und genau das macht die aktuelle Sicherheitsmeldung so relevant. Version 26.02, am 25. Juni 2026 veröffentlicht, schließt eine Remote-Code-Execution-Schwachstelle. Wer noch eine ältere Version einsetzt, sollte das heute prüfen und aktualisieren.

Was steckt dahinter? Eine RCE-Lücke (Remote Code Execution) ist eine der kritischsten Kategorien von Sicherheitslücken überhaupt. Sie erlaubt es einem Angreifer, eigenen Code auf dem Zielsystem auszuführen — ohne dass der Nutzer aktiv einen Fehler begehen muss. In der Praxis bedeutet das: Wer eine manipulierte Archivdatei öffnet, gibt möglicherweise einem Angreifer die Kontrolle über sein System. Ransomware, Backdoors, Datendiebstahl — alles ist damit möglich.

7-Zip ist in Unternehmen weit verbreitet, oft unsichtbar im Hintergrund. Die Software wird auf Helpdesks genutzt, auf Terminalservern, in Backup-Skripten, manchmal in automatisierten Prozessen. Genau diese Verbreitung macht ein ungepatchtes 7-Zip zum potenziellen Einstiegspunkt.

Das unterschätzte Problem: kein automatisches Update

7-Zip bringt von Haus aus keine automatische Update-Funktion mit. Anders als Browser oder Antivirensoftware, die sich selbst aktuell halten, bleibt 7-Zip auf dem Stand, auf dem es installiert wurde — bis jemand manuell nachzieht. In vielen Unternehmensumgebungen heißt das: Die Installationsbasis ist fragmentiert. Manche Systeme laufen mit älteren Versionen, ohne dass jemand den Überblick hat.

Genau hier liegt das Risiko. Nicht die Lücke allein ist das Problem — es ist die Kombination aus hoher Verbreitung und mangelnder Update-Disziplin. Ein Angreifer, der eine präparierte ZIP- oder 7z-Datei verteilt, kann auf viele ungepatchte Systeme treffen.

Aus unserer Sicht sollte 7-Zip in Unternehmensumgebungen entweder über Software-Deployment-Lösungen (Intune, PDQ Deploy oder vergleichbare Werkzeuge) zentral verteilt und aktualisiert werden — oder durch ein Werkzeug ersetzt werden, das sich selbst aktuell hält, wenn der manuelle Aufwand zu groß erscheint.

Was Sie jetzt tun sollten

Prüfen Sie, welche 7-Zip-Version auf Ihren Systemen läuft. Das geht am schnellsten über die Softwareinventarisierung Ihres Endpoint-Management-Systems. Alternativ: 7-Zip öffnen → Hilfe → Info. Dort steht die Version direkt.

Ist die Version älter als 26.02, gilt: Update einspielen. Die aktuelle Version ist kostenlos auf der offiziellen 7-Zip-Projektseite erhältlich, für 32-Bit und 64-Bit Windows sowie für ARM.

Für Umgebungen mit vielen Endpoints: Rollout über das zentrale Deployment einplanen. Eine solche Aktualisierung ist unkritisch — 7-Zip hat keine Dienste, die neu gestartet werden müssten, keine laufenden Sitzungen, die unterbrochen würden. Der Aufwand ist gering; das Risiko, es zu lassen, ist hoch.

Einordnung

Dass 7-Zip nicht auf dem Radar vieler Patch-Prozesse steht, liegt daran, dass es als einfaches Tool wahrgenommen wird — kein Server, kein Dienst, kein Browser. Dabei wird es täglich für das Öffnen von Anhängen, Archiven und Installationspaketen genutzt, oft in privilegierten Kontexten auf Terminalservern oder Administratorarbeitsplätzen.

Eine RCE in einem solchen Tool ist kein akademisches Risiko. Es ist ein direkter Weg ins System — für jeden, der einen Nutzer dazu bringt, eine manipulierte Datei zu öffnen. Social Engineering, Phishing, ein Archiv im E-Mail-Anhang: Die Angriffsvektoren sind bekannt und erprobt.

Version 26.02 ist die Antwort. Klein, kostenlos, sofort verfügbar. Kein Grund, zu warten.

Quellen: Günter Born, borncity.com — „7-Zip Version 26.02 fixt RCE-Schwachstelle“ (https://borncity.com/blog/2026/07/24/7-zip-version-26-02-fixt-rce-schwachstelle/)