El mejor parche para 7-Zip es desinstalarlo (en la mayoría de tus PCs)

El 15 de julio, la Zero Day Initiative publicó los detalles de CVE-2026-14266: un desbordamiento de montículo en el decodificador XZ de 7-Zip que permite ejecutar código cuando alguien abre un archivo manipulado. Afecta a la versión 21.07, de 2021, y a todas las posteriores hasta la 26.01. Los titulares de esa semana hablaban de millones de usuarios en riesgo, y la reacción por defecto sería salir corriendo a actualizar doscientas máquinas. Vamos a proponer otra cosa, que suena a boutade y tiene detrás una razón muy aburrida: en buena parte de esas máquinas, el mejor parche es desinstalar el programa.

Llevamos años gestionando puestos de trabajo de empresas, y lo que quita el sueño casi nunca es el programa que sale en el boletín de seguridad. Es el que lleva años instalado en media plantilla, no aparece en ninguna lista y nadie sabe decir quién decide su versión. 7-Zip es el ejemplo de manual de esa categoría, y entre abril y julio ha tenido dos fallos de ejecución de código.

Qué dice el aviso y qué no dice

Empecemos por bajar el volumen, que es lo que menos se hace en este oficio. CVE-2026-14266 puntúa 7.0 en CVSS y su vector es AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H. Traducido: el ataque es local, de complejidad alta, y requiere que una persona abra el archivo manipulado. El código que se ejecuta lo hace con el mismo permiso que tenga 7-Zip en ese momento, sin elevar privilegios por sí solo. Técnicamente es un fallo en MixCoder_Code, dentro de C/XzDec.c: a la función se le pasaba la longitud completa del búfer de salida en cada pasada, en vez del espacio que quedaba tras las escrituras anteriores.

A 20 de julio no había prueba de concepto pública ni ningún informe creíble de explotación real. Lo decimos con todas las letras porque es lo honesto: esto no es una emergencia. Nadie tiene que volver de vacaciones por un 7.0 que exige que el usuario abra el fichero. Repasando el Patch Tuesday de julio y sus 622 parches ya defendimos que quien parchea por número acaba dejando para el viernes lo que sí se está explotando.

El parche más barato es el que no hay que aplicar

Este punto casi nunca sale en los avisos, porque no vende ninguna herramienta. Desde finales de 2023, Windows 11 abre de forma nativa archivos .7z, .rar, .tar y .tar.gz, entre once formatos en total, apoyándose en la biblioteca de código abierto libarchive. Microsoft lo anunció en su conferencia Build y lo distribuyó con la actualización KB5031455. Para el usuario que hace clic derecho y extrae, que en cualquier oficina es la inmensa mayoría, no hace falta instalar absolutamente nada.

Toca decir la letra pequeña, porque la tiene. El soporte nativo no abre archivos protegidos con contraseña, no crea RAR y no trae ni las opciones del gestor de 7-Zip ni su línea de comandos. Si tu equipo de sistemas usa 7z.exe en scripts, si intercambias archivos cifrados con clientes o si alguien trabaja dentro de esa interfaz todo el día, 7-Zip se queda, y entonces se gestiona como cualquier otra pieza de software. Lo que cuesta defender es tenerlo instalado en doscientas máquinas porque venía en la plantilla de 2018. Cada copia que quitas es una copia que ya no hay que parchear ni inventariar el año que viene.

Dos fallos de ejecución de código en dos meses

El de julio no ha venido solo. CVE-2026-48095, un desbordamiento de escritura en montículo en el manejador de archivos NTFS de 7-Zip, afectaba a la versión 26.00 y se corrigió en la 26.01, publicada el 27 de abril; el aviso público salió el 22 de mayo. Trae además un detalle que conviene grabarse: la lógica de reserva del analizador puede encaminar al manejador NTFS ficheros con extensión .7z, .zip o .rar cuando los otros manejadores fallan. Dicho de otro modo, la extensión del fichero no determina qué código lo va a procesar, y cualquier regla de correo del tipo «bloqueamos los .xz y listo» nace coja.

Los dos son errores de gestión de memoria en analizadores de formatos, y eso es la naturaleza del producto más que mala suerte. Un descompresor es, por definición, código que procesa ficheros que te ha mandado alguien de fuera, así que ahí van a seguir apareciendo fallos, en 7-Zip y en cualquier alternativa. Nos parece una herramienta excelente y la usamos. Justamente por eso la queremos en las máquinas donde hace falta, con su versión decidida por alguien, y no repartida por inercia en todo el parque.

7-Zip no se actualiza solo

Aquí está el nudo del asunto. 7-Zip no tiene actualizador automático: ponerse al día consiste en ir a la web oficial y ejecutar el instalador a mano. En una máquina que alguien preparó, entregó y nadie ha vuelto a tocar, la versión instalada es la del día de la entrega. Si la entrega fue en 2019, ahí sigue.

Saca la lista antes que el parche

Para decidir qué se desinstala y qué se actualiza hace falta saber primero dónde está. Se puede contestar hoy y sin comprar nada: en una máquina suelta, winget list ya dice lo que hay instalado y con qué versión; a escala de parque, el inventario de aplicaciones de la herramienta de gestión del puesto, sean las aplicaciones detectadas de Intune, un script repartido por GPO o el inventario de software del EDR, da la lista completa en una tarde. La herramienta ya la tienes. Lo que suele faltar es la costumbre de abrirla.

Luego está el caso feo, el que se nos escapa a todos: la versión portable. Un 7z.exe en una carpeta del escritorio, en una unidad de red o en el pendrive de alguien que lo necesitaba para un trabajo concreto hace tres años. No aparece en «Aplicaciones instaladas», no lo lista winget y no lo actualiza nadie. Solo lo ves de dos maneras: buscando el ejecutable por disco, o mirando en el EDR qué binarios se ejecutan de verdad en tus máquinas. Esa segunda vía es la mitad del valor de tener EDR/MDR y casi nadie la usa.

Cuando hagas ese inventario, además, 7-Zip no va a estar solo. Aparecerá el mismo patrón repetido: utilidades pequeñas, instaladas hace años por alguien que las necesitaba, sin actualización automática y sin nadie que responda por su versión. Lectores de PDF, editores de texto, clientes de SSH, reproductores de vídeo, entornos de ejecución que llegaron de la mano de otro programa. El CVE de este mes le ha tocado a 7-Zip; el mes que viene le tocará a otro nombre de esa lista.

Para los que sí lo necesitan

La parte mecánica es la fácil. Con el gestor de paquetes de Windows, winget install -e --id 7zip.7zip instala la versión oficial sin que nadie tenga que buscar el instalador por internet, y winget upgrade pone al día lo que ya está. Para despliegue centralizado hay instalador MSI, con un matiz que conviene conocer antes de estandarizarlo: la propia web de 7-Zip recomienda el instalador .exe frente al .msi, así que si empaquetas el MSI, pásalo antes por un grupo piloto. Y una vez elegida la versión, que quede escrita en algún sitio, como ya contamos en «latest» no es una versión hablando de servidores.

La tarde que vale la pena

El ejercicio entero cabe en una tarde y tiene tres movimientos. Sacar la lista de qué máquinas tienen 7-Zip y con qué versión; si el inventario no puede contestar eso, el hallazgo del día vale bastante más que el parche. Separar después quién lo necesita de verdad de quién simplemente lo tiene, desinstalar en el segundo grupo y dejar el primero en la 26.02 con un responsable de versión escrito. Y terminar buscando las copias portables por disco y en el EDR, que es donde vive la de 2019 que ningún inventario conoce.

Hay tres atajos que nos ahorraríamos. Mandar un correo a toda la empresa pidiendo que actualicen tiene una tasa de éxito conocida y encima no deja registro de quién lo hizo. Bloquear la extensión .xz en el correo y dar el asunto por cerrado choca con lo que enseñó el fallo de abril sobre los analizadores. Y adelantar esto a lo que sí se está explotando ahora mismo, o convertirlo en un proyecto de seis meses con una herramienta nueva de por medio, cuesta más de lo que resuelve.

El software sin dueño

Cada programa instalado en tu empresa debería tener respuesta a tres preguntas: quién lo necesita, quién decide su versión y cómo se entera esa persona de que hay una nueva. Es una prueba de tres líneas y la suspende bastante más software del que uno querría admitir. Cuando un programa falla las tres, su versión la acaba fijando la fecha en que alguien lo instaló, que es la peor política de actualización posible porque nadie la ha decidido.

Lo bueno de un CVE tranquilo como este, sin exploit público y sin nadie llamando a las tres de la mañana, es que da margen para hacer el ejercicio con calma. Los que llegan con explotación activa no lo dan. Si en octubre aparece un fallo parecido en el mismo programa, la diferencia entre una tarde de trabajo y una semana de sobresaltos será que hoy te sepas la lista de memoria.

Fuentes (verificadas): CVE-2026-14266 (CVSS 7.0, vector AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H, desbordamiento de montículo en MixCoder_Code en C/XzDec.c, afecta a la 21.07 y posteriores, corregido en la 26.02 del 25-06-2026, reportado por Landon Peng de Lunbun LLC el 05-06-2026, detallado por la Zero Day Initiative el 15-07-2026, sin PoC público ni explotación conocida a 20-07-2026, actualización manual desde la web oficial), The Hacker News, 20-07-2026. CVE-2026-48095 (desbordamiento de escritura en montículo en el manejador NTFS, afecta a la 26.00, corregido en la 26.01 del 27-04-2026, aviso público el 22-05-2026, encaminamiento de ficheros .7z/.zip/.rar al analizador NTFS por la lógica de reserva): SOC Prime. Versiones publicadas, fechas de release e instaladores .exe y .msi (con la recomendación del .exe): 7-zip.org. Soporte nativo de once formatos de archivo en Windows 11 mediante libarchive, anunciado en Build y distribuido con KB5031455, sin soporte de archivos protegidos con contraseña: BleepingComputer. Identificador del paquete 7zip.7zip en el gestor de paquetes de Windows: winget.run. El criterio de inventario y priorización es nuestro.