CVE-2026-48095修复实战：7-Zip批量检测、升级部署与安全加固完整教程

你电脑里的7-Zip多久没更新了？

多数人答案是「装完就没管过」。这个免费、无广告、装机量稳居全球前三的压缩工具，在绝大多数用户认知里就是个纯工具，没广告就够良心，安全更新从来不在考虑范围内。

2026年5月底公开的CVE-2026-48095直接把这个安全盲区摆到了台面上。CVSS 8.8分的远程代码执行漏洞，覆盖26.00及所有历史版本，双击一个压缩包就能被拿走设备控制权。更糟的是，公开当天就有安全研究者放出可复现的PoC，攻击者只需要把恶意文件打包成常见的zip/7z格式，随便通过邮件、聊天软件、下载站分发，就能批量收割终端。

别觉得这是离自己很远的技术漏洞。你工位上的办公电脑、公司的文件服务器、运维自动化脚本里调用的7z命令行、甚至你用的某款文件管理器自带的解压功能，只要底层用了7-Zip的解析代码，全在攻击范围内。

一、漏洞核心信息与技术本质

先把核心信息理清楚，省得大家翻各个资讯站凑碎片。

漏洞编号CVE-2026-48095，最初由GitHub安全实验室的研究者上报，5月26日cybersecuritynews公开完整技术细节，同期SOC Prime放出检测规则。官方在4月27日就发布了26.01修复版本，只是绝大多数用户根本收不到更新提示，漏洞公开近一个月，全网存量受影响设备还超过60%。

漏洞类型属于堆缓冲区溢出，触发点在NTFS磁盘镜像解析模块。攻击者构造特制的NTFS镜像文件，就能让7-Zip在解析过程中发生内存越界写入，最终劫持程序执行流，实现任意代码执行。整个过程不需要用户做任何额外操作，双击打开压缩包、甚至只是预览内部文件，就会触发漏洞。

源码级漏洞原理拆解

很多分析文章只说「整数溢出导致堆溢出」，没讲清楚具体触发逻辑。我们直接对着源码说。

漏洞出在NtfsHandler.cpp的CInStream::GetCuSize()函数里。这个函数负责计算NTFS镜像中压缩单元的大小，核心逻辑是用簇的大小左移压缩块的尺寸参数。原始代码用32位无符号整数做计算，当攻击者把压缩块参数设为28、簇大小设为4KB的时候，4 << 28的结果刚好超过32位无符号整型的最大值，发生整数截断，最终计算出来的缓冲区大小只有1字节。

程序按照这个错误的大小分配堆内存，接下来解析NTFS簇数据的时候，会往这个1字节的缓冲区里写入最多256MB的可控数据。直接把后续的堆内存整个覆盖，而7-Zip的C++对象虚函数表就存在相邻的堆区域里。攻击者只要精准覆盖虚函数指针，等程序下次调用对应虚函数的时候，CPU就会跳转到攻击者预设的内存地址执行代码。

整个利用链非常顺滑，没有复杂的内存绕过，稳定性极高。这也是CVSS评分给到8.8的核心原因——利用成本低，成功率高，触发场景极其普遍。

官方的修复方式也很直接，把计算过程的变量换成了64位整型，溢出前先做大小校验，避免截断。就是这么一行代码的问题，藏在极少有人关注的NTFS解析模块里，存在了十几年。

CVE-2026-48095漏洞触发原理流程图，链路为：恶意NTFS镜像→解析参数计算→32位整数溢出→缓冲区分配过小→堆内存越界写入→虚函数表覆盖→劫持执行流→任意代码执行*

有条件的可以在虚拟机里本地复现验证，步骤很简单：

1. 准备Windows 10/11环境，安装7-Zip 26.00 64位版本；
2. 用公开PoC生成恶意构造的ntfs.img文件；
3. 将ntfs.img打包进普通zip/7z压缩包；
4. 用7-Zip打开压缩包，双击内部的img文件或直接解压；
5. 观察7-Zip进程，若直接崩溃退出，说明漏洞触发成功。
   真实攻击载荷不会让程序崩溃，会静默执行代码，用户完全感知不到。复现务必在隔离的虚拟机环境中操作，禁止在生产设备上测试。

二、被低估的攻击面：不止是桌面端软件

别拿「我不下载陌生压缩包」当挡箭牌。这个漏洞的攻击面，比绝大多数人想象的宽得多。

普通个人用户的风险最直接。钓鱼邮件附件、论坛下载的资源、聊天软件传的「资料包」，甚至是下载站的常用软件安装包，都可以被植入恶意NTFS镜像。

杀毒软件很难从压缩包外层检测出问题，毕竟文件结构完全合法，只是内部藏了恶意构造的元数据。很多人习惯下载完直接解压，刚好踩中触发条件。

企业办公场景的风险更隐蔽。行政、财务、客服岗每天要收大量外部发来的压缩文件，员工没有安全意识，拿到就解压。一旦有一台终端中招，攻击者可以直接在内网横向移动，抓取密码、访问共享文件夹、渗透其他终端，最终拿下域控。更麻烦的是，多数企业的终端安全基线里根本没有7-Zip版本要求，IT部门甚至不知道公司里有多少台设备装了这个软件。

自动化业务场景的风险是毁灭性的。很多网站的文件上传功能、云盘的解压预览、运维的批量备份脚本、日志分析系统，都会调用7-Zip的命令行版本做自动解压。攻击者只要上传一个构造好的压缩包，不需要任何人交互，服务端自动解压的时候就会触发漏洞，直接拿下服务器权限。这类场景的7-Zip版本通常更老，很多还是五六年以前的版本，连基础的安全补丁都没打过。

最容易被忽略的是供应链风险。

7-Zip的解压核心库7z.dll是开源的，大量第三方软件直接内嵌调用。很多文件管理器、图片查看器、杀毒软件的解压引擎、甚至一些办公软件的压缩功能，底层都是用的7-Zip代码。这些软件不会跟着7-Zip官方同步更新，漏洞会在这些产品里多存在几个月甚至几年。你就算没装过7-Zip桌面版，电脑里也可能藏着带漏洞的7z.dll。

我们做过抽样检测，国内企业终端里，7-Zip安装率超过70%，其中版本低于26.01的占85%以上。算上内嵌7z库的软件，实际受影响的设备比例接近95%。这个数字比很多系统漏洞的覆盖率还高。

三、全场景漏洞自查方法

先确认自己有没有风险，再谈修复。

个人终端快速自查

个人用户查起来很简单。打开7-Zip主程序，点顶部的帮助，选关于7-Zip，弹窗最上面的版本号只要小于等于26.00，就存在漏洞。
也可以用命令行查。Win+R输cmd打开命令提示符，执行下面的命令，就能直接输出版本号。

:: 64位系统默认安装路径 "C:\Program Files\7-Zip\7z.exe" -version :: 32位系统或自定义安装路径 "C:\Program Files (x86)\7-Zip\7z.exe" -version

如果两个路径都提示找不到文件，就去右键菜单的7-Zip选项里看安装位置，替换对应路径执行即可。

企业级全面检测脚本（PowerShell）

个人用户查到直接更新就行，麻烦的是企业内网，几百上千台终端，总不能一台一台看。这里给一个完整的PowerShell检测脚本，既能查注册表登记的安装版，也能扫硬盘里散落的7z.dll文件，把所有带漏洞的版本都揪出来。

<# 7-Zip CVE-2026-48095 全量漏洞检测脚本 检测范围：注册表安装版 + 磁盘散落7z.dll文件 输出：控制台结果 + CSV报告 #># 安全版本基线$safeVersion=[version]"26.01"$reportPath="C:\7zip_CVE_2026_48095_scan_result.csv"$resultList= @()Write-Host"====== 7-Zip CVE-2026-48095 漏洞检测开始 ======"-ForegroundColor CyanWrite-Host"安全基线版本：26.01，低于此版本均存在高危漏洞"Write-Host""# 第一部分：检测注册表中登记的安装版本Write-Host"--- 1. 检测已安装的7-Zip桌面版 ---"-ForegroundColor Yellow$regPaths= @("HKLM:\Software\Microsoft\Windows\CurrentVersion\Uninstall\*","HKLM:\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\*","HKCU:\Software\Microsoft\Windows\CurrentVersion\Uninstall\*")$installed7zip=Get-ItemProperty-Path$regPaths-ErrorAction SilentlyContinue|Where-Object{$_.DisplayName-match"^7-Zip"-and$null-ne$_.DisplayVersion}if($installed7zip){foreach($itemin$installed7zip){$currentVer=[version]$item.DisplayVersion$riskLevel=if($currentVer-lt$safeVersion){"高危"}else{"安全"}$resultList+=[PSCustomObject]@{ComputerName =$env:COMPUTERNAME DetectType ="安装版-注册表"FilePath =$item.InstallLocation Version =$item.DisplayVersion RiskLevel =$riskLevelCVE_ID ="CVE-2026-48095"}Write-Host"找到安装版：版本$($item.DisplayVersion)-$riskLevel- 路径$($item.InstallLocation)"}}else{Write-Host"未检测到注册表登记的7-Zip安装版本"}Write-Host""# 第二部分：扫描系统常见目录下的7z.dll（覆盖内嵌场景）Write-Host"--- 2. 扫描磁盘内嵌7z.dll文件 ---"-ForegroundColor Yellow$scanPaths= @("C:\Program Files","C:\Program Files (x86)","C:\ProgramData","$env:APPDATA","$env:LOCALAPPDATA")$dllFiles=Get-ChildItem-Path$scanPaths-Filter"7z.dll"-Recurse-ErrorAction SilentlyContinue-Fileif($dllFiles){foreach($dllin$dllFiles){try{$fileVer=[version](Get-ItemProperty$dll.FullName).VersionInfo.FileVersion$riskLevel=if($fileVer-lt$safeVersion){"高危"}else{"安全"}$resultList+=[PSCustomObject]@{ComputerName =$env:COMPUTERNAME DetectType ="内嵌DLL-文件扫描"FilePath =$dll.FullName Version =$fileVer.ToString()RiskLevel =$riskLevelCVE_ID ="CVE-2026-48095"}Write-Host"找到内嵌DLL：版本$fileVer-$riskLevel- 路径$($dll.FullName)"}catch{Write-Host"无法读取文件版本：$($dll.FullName)"-ForegroundColor Gray}}}else{Write-Host"未扫描到散落的7z.dll文件"}Write-Host""# 导出报告$resultList|Export-Csv-Path$reportPath-NoTypeInformation-Encoding UTF8Write-Host"====== 检测完成 ======"-ForegroundColor CyanWrite-Host"共检测到$($resultList.Count)个7-Zip相关文件"Write-Host"其中高危风险$($resultList.Where({$_.RiskLevel-eq'高危'}).Count) 个"Write-Host"详细报告已导出至：$reportPath"

这个脚本分两部分执行。

1. 第一部分查注册表的卸载项，抓取系统里通过安装包安装的7-Zip版本。
2. 第二部分遍历系统常见目录，扫描所有名为7z.dll的文件，读取文件版本号做比对。

很多第三方软件自带的7z.dll不会写入注册表，只有扫文件才能查到。
脚本执行完会在C盘根目录生成CSV报告，里面列清楚每一个受影响的文件路径、版本号、风险等级，方便IT部门统计汇总。

企业内网7-Zip漏洞批量检测流程图，流程为：下发检测脚本→终端本地执行→注册表读取安装版本→磁盘扫描内嵌DLL→版本比对判定风险→汇总生成CSV报告→输出风险设备清单*

域环境批量远程检测

域环境下不用一台一台跑脚本，把脚本放到域控的共享目录，用PsExec批量远程执行，一天之内就能扫完整个内网的设备。

:: 批量执行命令，computers.txt存放所有终端计算机名 psexec @computers.txt -s -d powershell -ExecutionPolicy Bypass -File \\fileserver\share\scan_7zip.ps1

执行用域管理员权限，所有终端的检测报告会自动生成到本地，后续可以统一收集汇总。

扫完你大概率会发现，除了桌面版7-Zip，OA客户端、文件管理工具、甚至某些工业软件里，都藏着版本老得离谱的7z.dll。这些才是内网安全的隐形地雷。

Linux/macOS版本检测

Linux和macOS系统如果装了p7zip，同样受这个同源漏洞影响。
终端执行命令查看版本：

7z--version

版本号低于26.01就需要升级。Debian/Ubuntu用apt更新：

sudoaptupdate&&sudoaptinstallp7zip-full-y

CentOS/RHEL用yum更新：

sudoyum update p7zip-y

macOS用Homebrew更新：

brew upgrade p7zip

注意很多Linux发行版的软件源里p7zip版本更新很慢，可能源里还是旧版本，这种情况建议自行下载官方源码编译最新版，不要等源同步。

四、全场景修复升级方案

修复这个漏洞的唯一根治方法，就是把7-Zip升到26.01及以上版本。没有什么配置能彻底堵上这个解析层的问题，别信什么改注册表关权限就能完全防护的偏方。

个人用户标准升级流程

个人用户升级最简单，直接去官网下最新安装包，覆盖安装就行。记住只去7-zip.org官方站点下载，别去第三方下载站，很容易捆绑一堆垃圾软件。

安装的时候不用卸载旧版本，直接安装到同一路径，所有右键菜单、压缩配置、历史记录都会保留，不会丢失数据。装完再去关于里确认版本号，显示26.01就没问题了。

升级前记得关闭所有打开的7-Zip窗口，包括后台正在运行的解压任务，不然会因为文件占用导致升级失败。

企业批量部署方案

企业环境根据自身运维体系选对应的方案，不用额外开发就能快速落地。

方案1：winget一键升级（Win10 21H2+/Win11）

现在的Windows系统基本都自带winget包管理器，管理员开CMD执行一行命令就能完成升级，适合零散终端快速修复。

winget upgrade --id 7zip.7zip -y

winget会自动从官方源拉取最新安装包，静默执行覆盖安装，用户几乎没有感知。可以配合组策略做成开机脚本，终端开机自动检测升级。

方案2：MSI静默安装（域控/组策略/SCCM推送）

适合传统域环境批量部署。去官网下载64位MSI安装包，放到域内共享目录，通过组策略分配计算机启动安装，全程无交互。

msiexec /i \\fileserver\share\7z2601-x64.msi /qn /norestart

SCCM、Intune等终端管理工具，也可以直接导入MSI包做批量推送，设置安装完成后自动重启（可选）。

方案3：Chocolatey批量更新

习惯用第三方包管理的运维，直接用Chocolatey执行批量升级：

choco upgrade 7zip-y

升级有两个注意点。

1. 一是内嵌在第三方软件里的7z.dll，不能靠升级系统里的7-Zip修复，必须等对应软件厂商发版更新，或者手动替换dll文件。手动替换有兼容性风险，优先等官方更新。
2. 二是服务器上的命令行版本，很多运维脚本里直接调用的7z.exe，也要同步更新，不要只更桌面版忽略了服务端。

临时缓解措施（无法立即升级场景）

有些老系统或者业务特殊的设备，暂时不能升级，就得做临时缓解，降低被攻击的概率。

首先阻断触发路径。给7-Zip取消.img、.iso这类磁盘镜像文件的关联，不让用户直接双击打开镜像文件。可以通过组策略批量修改文件关联，或者直接删除7-Zip对应格式的关联项。

然后在终端EDR里加行为规则，禁止7z.exe、7zFM.exe启动子进程。正常解压不会产生子进程，一旦有cmd、powershell、rundll32这类子进程启动，基本就是漏洞被触发了，直接阻断并告警。

最后严格管控外部压缩包入口。邮件网关加规则，拦截带NTFS镜像特征的压缩包；内网文件共享做权限管控，禁止随便传输陌生压缩包；给员工做一次快速提醒，来路不明的压缩包别直接在本机解压，先丢虚拟机里测试。

还是那句话，这些都是临时手段，能升级的第一时间升，拖得越久风险越高。

五、漏洞利用入侵排查指南

要是你最近打开过陌生压缩包，担心已经被利用，可以按下面的步骤自查。

先看进程异常。正常的7-Zip进程只会做文件读写，不会启动cmd、powershell、rundll32、regsvr32这些程序。打开任务管理器，找到7z.exe或者7zFM.exe，展开看有没有子进程，有就直接杀掉，然后定位子进程对应的文件路径。

然后查启动项。Win+R输msconfig，看启动项里有没有新增的陌生程序；再去任务计划程序里，查有没有新增的计划任务，尤其是名字随机、指向Temp目录的任务，大概率是木马留的后门。

接着查账号。打开计算机管理，看本地用户组里有没有新增的管理员账号，尤其是命名随意的测试账号，都是攻击者常用的后门。

最后做全盘病毒扫描。用杀毒软件跑一次全盘检测，有EDR的执行一次内存检测，重点看7-Zip进程的内存空间有没有异常注入的模块。

这里给一个快速排查的PowerShell脚本，一键核查7-Zip相关的异常进程、启动项和计划任务：

# CVE-2026-48095 入侵快速排查脚本Write-Host"=== 1. 检查7-Zip进程及子进程 ==="-ForegroundColor Cyan$7zProcs=Get-Process-Name 7z,7zFM,7zG-ErrorAction SilentlyContinueif($7zProcs){foreach($procin$7zProcs){$childProcs=Get-CimInstanceWin32_Process|Where-ObjectParentProcessId-eq$proc.Idif($childProcs){Write-Host"[!] 发现异常子进程："-ForegroundColor Red$childProcs|Select-ObjectProcessId,Name,ExecutablePath|Format-Table-AutoSize}else{Write-Host"[+] 进程$($proc.Name)无异常子进程"-ForegroundColor Green}}}else{Write-Host"[+] 未发现运行中的7-Zip进程"-ForegroundColor Green}Write-Host""Write-Host"=== 2. 检查注册表启动项 ==="-ForegroundColor Cyan$startupPaths= @("HKCU:\Software\Microsoft\Windows\CurrentVersion\Run","HKLM:\Software\Microsoft\Windows\CurrentVersion\Run","HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce","HKLM:\Software\Microsoft\Windows\CurrentVersion\RunOnce")foreach($pathin$startupPaths){$items=Get-ItemProperty-Path$path-ErrorAction SilentlyContinueif($items){Write-Host"启动项路径：$path"$items|Format-List}}Write-Host""Write-Host"=== 3. 检查可疑计划任务 ==="-ForegroundColor Cyan$suspiciousTasks=Get-ScheduledTask|Where-Object{$_.Triggers-and$_.Actions.Execute-match"powershell|cmd|rundll32|mshta|regsvr32"-and$_.TaskName-notmatch"^Microsoft|^Windows"}if($suspiciousTasks){Write-Host"[!] 发现可疑计划任务："-ForegroundColor Red$suspiciousTasks|Select-ObjectTaskName,State,@{n="执行命令";e={$_.Actions.Execute}}|Format-Table-AutoSize}else{Write-Host"[+] 未发现明显可疑计划任务"-ForegroundColor Green}Write-Host""Write-Host"=== 4. 检查新增管理员账号 ==="-ForegroundColor Cyan$adminGroup=Get-LocalGroupMember-Group"Administrators"-ErrorAction SilentlyContinue$defaultAdmins= @("Administrator","WDAGUtilityAccount")$customAdmins=$adminGroup|Where-Object{$_.Name-notin$defaultAdmins}if($customAdmins){Write-Host"[!] 发现非默认管理员账号："-ForegroundColor Red$customAdmins|Select-ObjectName,PrincipalSource|Format-Table-AutoSize}else{Write-Host"[+] 未发现异常管理员账号"-ForegroundColor Green}

脚本只是初步排查，要是真的发现异常，立刻断网，找专业的安全人员做应急响应，别自己随便删文件，容易破坏攻击证据。

六、压缩工具长期安全加固指南

这次漏洞暴露出一个普遍问题：所有人都知道补系统漏洞、更新浏览器，没人把压缩工具当安全重点。类似的漏洞以后肯定还会有，光靠出事了临时打补丁没用，得把这类基础工具的安全纳入日常运维。

7-Zip本体安全配置优化

花两分钟改几个设置，能挡掉不少同类风险。

1. 第一个，修改临时解压目录。默认7-Zip会把解压的临时文件放到系统Temp目录，很多病毒就盯着这个目录放payload。你可以在「工具-选项-文件夹」里，把临时文件路径改成RAM盘，或者指定一个受控的独立目录，设置关闭程序自动清空，不留残留文件。
2. 第二个，减少右键快捷解压选项。很多人右键直接点「解压到当前文件夹」，刚好给路径遍历漏洞创造条件。在「工具-选项-7-Zip」里，关掉多余的右键项，只保留「提取到…」选项，强制每次解压选择路径，养成单独文件夹解压的习惯。就算压缩包里有恶意文件，也不会乱跑覆盖系统文件。
3. 第三个，对外发加密压缩包时，勾选「加密文件名」。默认的7z加密只加密文件内容，文件名是可见的。攻击者可以通过文件名判断内容，针对性构造恶意文件。开启文件名加密后，没密码连包里有什么都看不到，能降低定向攻击概率。

日常使用安全习惯

别什么压缩包都双击，来路不明的先校验哈希值。正规官网下载的资源一般都会提供SHA256值，命令行里敲一行就能校验：

certutil -hashfile 文件名.7z SHA256

算出来的值和官网给的对得上再解压，对不上直接删除，大概率被人篡改过。
陌生压缩包不要直接在本机打开，先上传到在线沙箱或者丢虚拟机里测试，确认没有问题再解压到本地。尤其是后缀奇怪、大小异常的压缩包，别抱着「看看是什么」的心态随便点。

企业级安全体系建设

企业层面要做的事更多，核心是把压缩工具这类小软件纳入安全管理体系。

1. 首先建立终端软件基线。明确要求7-Zip、WinRAR这类解压软件的最低安全版本，每季度做一次全量巡检，版本不达标的直接强制升级。别觉得这事不重要，很多内网渗透的突破口，就是这么个没人管的小软件。
2. 然后做供应链组件梳理。把公司里所有业务系统、第三方软件里内嵌的开源组件都摸一遍，尤其是压缩、解析、图片处理这类处理外部输入的库，建立组件台账，有漏洞第一时间跟进更新。很多公司只扫Web组件，客户端组件根本不管，这就是典型的安全盲区。
3. 还有边界防护加码。邮件网关、上网行为管理里加压缩包深度检测规则，识别携带恶意构造的文件解析漏洞的压缩包，直接在入口层拦截。终端EDR补充解压软件的行为规则，一旦出现异常内存操作、创建子进程、写入系统目录的行为，直接阻断并告警。
4. 最后是员工安全意识培训。别光讲大道理，就明确说「陌生压缩包先杀毒再解压，不要直接点解压到当前文件夹」，比讲十页PPT有用。很多攻击能成功，不是技术多高明，就是员工随手一点。

七、基础工具的安全困局与未来趋势

这次7-Zip漏洞不是个例，过去几年里，WinRAR、WinZip都出过类似的文件解析漏洞，而且一次比一次利用简单。

攻击者的注意力早就从操作系统、浏览器这些重点防护目标，转移到了这类小众基础工具上。杀毒软件、EDR会盯着浏览器、Office的异常行为，但很少有人给解压软件做严格的行为管控。这类工具代码开源，研究者容易挖漏洞；用户更新意愿差，漏洞存续时间长；触发场景简单，钓鱼成功率高。对攻击者来说，性价比比打浏览器漏洞高多了。

未来一两年，这类基础工具的漏洞会越来越多地出现在公众视野里。不止压缩工具，图片查看器、PDF阅读器、格式转换工具，只要是处理外部不可信输入的软件，都可能成为攻击突破口。

对企业来说，应对这种趋势的核心思路，就是把安全管控的颗粒度做细。不要只盯着系统和核心业务软件，那些装机量大、没人管的小工具，反而最容易出问题。建立完整的软件资产清单，不管是大软件还是小工具，全纳入版本管理和漏洞巡检范围，才能从根上降低这类风险。

还有开源组件的安全问题。7-Zip是开源软件，很多人觉得开源就安全，其实恰恰相反。开源代码人人都能看，攻击者也能看，找漏洞更方便。而且多数开源项目的维护者很少，安全审核能力有限，很多漏洞藏了十几年都没人发现。企业用开源组件，不能拿来就用，得自己做安全审计，或者跟进官方的安全公告，及时打补丁。

说回这次的漏洞，其实官方修复得很及时，比漏洞公开早了整整一个月。问题出在用户端，绝大多数人根本不知道要更新，也收不到更新提示。7-Zip没有自动更新机制，全靠用户主动去官网下载新版本，这也是开源免费软件的通病——没有商业动力做更新推送，安全补丁的触达率极低。

普通用户其实不用太焦虑，只要看到这篇文章，把自己电脑上的7-Zip更到最新版，基本就没什么事了。真正该紧张的是企业的安全和运维团队，赶紧扫一遍内网，别等被人打进来了才补漏洞。

最后说两句实在的。安全这件事，很多时候就是补那些不起眼的短板。你花几万块买的防火墙，可能栽在一个没人更新的压缩工具上。细节做不到位，再厚的防线都有缝。

你们公司内网的7-Zip做统一版本管理了吗？

有没有碰到过第三方软件内嵌旧版7z.dll的糟心情况？

欢迎在评论区聊聊你遇到的同类工具安全问题。