7-Zip 26.04 schließt mehrere Sicherheitslücken

Für das verbreitete Packprogramm 7-Zip ist die neue Version 26.04 erschienen, die mehrere Sicherheitslücken und weitere Fehler behebt. Wie schwer die Lücken sind und ob sie bereits für Angriffe genutzt werden, ist bisher nicht bekannt.

Was das für Sie bedeutet

7-Zip öffnet und erstellt sogenannte Archive. Das sind Dateien, in denen mehrere Dokumente, Bilder oder Programme zusammengefasst und verkleinert sein können, etwa im Format ZIP oder 7z.

Solche Archive begegnen Ihnen häufig bei Downloads oder als Anhang einer E-Mail. Deshalb ist ein sicheres Programm zum Öffnen dieser Dateien wichtig, auch wenn Sie 7-Zip nur gelegentlich verwenden.

Bestätigt ist bisher, dass Version 26.04 mehrere Sicherheitslücken schließt. Der Entwickler nennt jedoch weder deren genaue Zahl noch ihren Schweregrad und beschreibt auch nicht, wie ein Angriff aussehen könnte.

Es ist deshalb nicht möglich, das persönliche Risiko genau einzuschätzen. Ein zügiges Update ist dennoch sinnvoll, weil eine veraltete Version bekannte Schwachstellen behält, sobald Einzelheiten darüber öffentlich werden.

Warum das Update nicht von allein erscheint

7-Zip besitzt keinen eigenen Mechanismus für automatische Aktualisierungen. Das Programm sucht auch nicht selbst nach einer neuen Version und zeigt Ihnen daher normalerweise keinen auffälligen Hinweis an.

Sie müssen die installierte Version selbst prüfen und die aktuelle Ausgabe herunterladen. Das unterscheidet 7-Zip von vielen Browsern und Smartphone-Apps, die Sicherheitsupdates meist automatisch einspielen.

Die Aktualisierung betrifft laut der veröffentlichten Meldung Installationspakete für Windows, Linux und macOS. Für die meisten Privatpersonen dürfte vor allem die Windows-Ausgabe relevant sein.

Was über frühere Lücken bekannt ist

Bei diesem Update fehlen bisher technische Einzelheiten. Frühere Sicherheitslücken in 7-Zip zeigen aber, warum Aktualisierungen des Programms ernst genommen werden sollten.

Im Juni 2026 wurde eine Lücke behoben, bei der ein manipuliertes XZ-Archiv das Einschleusen und Ausführen von Schadcode ermöglichen konnte. Im November 2025 wurde außerdem eine andere Schwachstelle nach Angaben von heise bereits von Kriminellen missbraucht.

Das bedeutet nicht, dass die jetzt geschlossenen Lücken genauso funktionieren oder bereits ausgenutzt werden. Die Beispiele erklären lediglich, weshalb Programme zum Entpacken fremder Dateien möglichst aktuell sein sollten.

Das können Sie jetzt tun

1. Öffnen Sie 7-Zip und prüfen Sie im Fenster „Über 7-Zip“, ob als Version bereits 26.04 angezeigt wird.
2. Laden Sie eine Aktualisierung nur über die offizielle Projektseite oder über den in der Quellenangabe verlinkten heise-Bericht herunter.
3. Wählen Sie das Installationspaket passend zu Ihrem Betriebssystem und lassen Sie sich bei Angaben wie x64 oder ARM64 im Zweifel von einer vertrauten Person helfen.
4. Installieren Sie Version 26.04 über die vorhandene Ausgabe und starten Sie 7-Zip oder den Computer danach neu.
5. Öffnen Sie unerwartete Archive aus E-Mails, SMS oder Messenger-Nachrichten auch nach dem Update nicht, bevor Sie Absender und Anlass geprüft haben.

Erfahrene Windows-Nutzer können das Update laut heise auch mit dem Befehl winget upgrade 7zip.7zip installieren. Wenn Ihnen dieser Weg nichts sagt, verwenden Sie besser das normale Installationsprogramm und geben Sie keine unbekannten Befehle ein.

Ein Update schützt vor den nun geschlossenen Lücken, macht jedoch nicht jede heruntergeladene Datei automatisch sicher. Bei unerwarteten Anhängen und angeblichen Rechnungen hilft Ihnen zusätzlich unser /werkzeuge/phishing-check.

Falls Sie ein verdächtiges Archiv bereits geöffnet haben und sich Ihr Computer danach ungewöhnlich verhält, trennen Sie ihn zunächst vom Internet. Weitere ruhige Sofortmaßnahmen finden Sie unter /notfall, persönliche Unterstützung unter /hilfezentrum.

Daran erkennen Sie einen riskanten Anhang

• Die Nachricht kommt unerwartet und drängt Sie zum schnellen Öffnen einer Rechnung, Mahnung oder angeblichen Zustellung.
• Der sichtbare Absendername ist bekannt, aber die tatsächliche E-Mail-Adresse wirkt fremd oder falsch geschrieben.
• Im Archiv befindet sich eine ausführbare Datei oder ein unbekannter Dateityp statt des angekündigten Dokuments.
• Sie sollen nach dem Entpacken Sicherheitswarnungen abschalten oder zusätzliche Programme installieren.

Löschen Sie einen zweifelhaften Anhang nicht übereilt, wenn Sie den Absender auf einem anderen Weg erreichen können. Fragen Sie über eine Ihnen bereits bekannte Telefonnummer nach, statt Kontaktdaten aus der verdächtigen Nachricht zu verwenden.