7-Zip の警告すり抜け（CVE-2025-0411）— 二重の圧縮でウイルスの警告が出ない

何が起きたか

Windows は、ネットから落としたファイルに「インターネットから来た」という印（Mark of the Web）を付け、開くときに警告を出します。7-Zip では、圧縮ファイルの中にさらに圧縮ファイルを入れると、取り出したファイルからこの印が消えてしまう欠陥（CVE-2025-0411）がありました。

トレンドマイクロによると、2024年9月ごろからウクライナの自治体や企業を狙った攻撃で悪用され、ウイルスを送り込むのに使われました。米 CISA は2025年2月6日に KEV に加えました。

影響を受けたのは

• 7-Zip 24.09 より前の版（修正版 24.09 は2024年11月に公開）
• 7-Zip には自動更新の仕組みがなく、古い版が残りやすい点が指摘されました

自社で確認したいこと

• 社内 PC の 7-Zip を 24.09 以降にする。使っていなければ削除する
• メールの添付やダウンロードした圧縮ファイルは、警告が出なくても中身を疑う
• 社内で使ってよい圧縮ソフトを決め、版を管理する