谈到压缩软件，许多人可能会想到WinRAR或7-Zip，但这些软件并未内置自动更新机制，一旦用户未能及时升级到新版程序，就会给攻击者留下可乘之机。近两年来，黑客已多次针对WinRAR用户发起攻击，今年也出现了针对7-Zip用户的攻击事件。

11月18日，英国国家医疗服务体系英格兰数字局（NHS England Digital）发布安全警告，确认7-Zip的安全漏洞CVE-2025-11001已被利用，呼吁用户和企业组织尽快升级至25.00及以上版本（当前最新版本为25.01）。

该机构还提到，有安全研究人员发布了概念验证（PoC）代码，攻击者可借此利用符号链接（Symbolic Link）机制，将文件写入解压目录之外的其他位置，在特定条件下，甚至可执行任意代码。不过，NHS England Digital并未详细说明攻击的具体方式。

CVE-2025-11001是7-Zip在处理文件时引发的目录遍历漏洞，攻击者可能借此实现远程代码执行（RCE），CVSS风险评分为7.0。该漏洞的利用前提是必须与用户产生交互，其成因在于7-Zip处理ZIP文件中的符号链接时存在缺陷，导致压缩包内特定内容可被写入非预期目录，从而使攻击者能通过服务账户执行恶意代码。该漏洞影响24.09及以下版本，7-Zip已于今年7月发布25.00版本予以修复。

值得注意的是，攻击者利用7-Zip漏洞已有先例。今年2月，趋势科技指出，他们曾在去年发现俄罗斯黑客利用漏洞CVE-2025-0411，对乌克兰政府机构与非政府组织发动攻击，试图在受害计算机上植入SmokeLoader恶意程序。