2025年10月16日、セキュリティ研究者により7-Zipの脆弱性CVE-2025-11001に関する検証用コード（PoC）を公開しました。問題はTrend Micro ZDIが公表した2件の脆弱性（CVE-2025-11001、CVE-2025-11002）のうち一つで、報告者はGMO Flatt Securityの志賀遼太氏です。7-Zipでは本件を含むリンク処理の見直しが行われ、修正はバージョン25.00で提供されています。
影響範囲と悪用前提
影響を受けるのはWindows環境で動作する7-Zipで、導入時期はバージョン21.02以降、修正はバージョン25.00です。
悪用には管理者権限、またはWindowsの「開発者モード」などシンボリックリンク作成が許可される設定が前提となります。このため、単独での初期侵入というより、特定の設定下での横展開や不正なファイル配置に利用され得る性質です。
公開PoCのポイント
公開記事は、7-Zipの差分を解析し、IsSafePathなどの検証ロジックがどのように回避され得るかを具体的に示しています。再現性のある手順と最小構成のアーカイブ例が説明されており、PoCはGitHub上のリポジトリ（pacbypass/CVE-2025-11001）で入手可能とされています。修正後のコードでは検証強化が行われていることも確認されています。
技術的な概要
脆弱性は、Linux系シンボリックリンクをWindows向けに解釈・変換する過程で、パスの安全性検証に抜けが生じる点に起因します。相対・絶対パスの判定や安全性チェックの適用条件に不備があり、特定のディレクトリ構成では検証を回避してリンク先を任意パスに向けられる場合があります。結果として、細工されたアーカイブを展開すると、実行環境の権限範囲内で意図しないディレクトリにファイルが作成される可能性があります。
利用者・組織への推奨対策
修正は7-Zip v25.00に含まれているため、当該バージョン以降への更新が有効な対策となります。
組織環境では、シンボリックリンク作成権限（SeCreateSymbolicLinkPrivilege）の管理や「開発者モード」の運用制御がリスク低減に資します。加えて、アーカイブ展開時のサンドボックス検証や、リンク作成・意図外パス書き込みの監視強化は、異常挙動の早期検知に有用です。
出典
関連記事
エプソン製プロジェクターのWeb管理機能に深刻な脆弱性(CVE-2025-64310)
Discord(ディスコード)、不正アクセスで最大7万件の個人情報や本人確認書類画像が漏洩
東芝テック「ShopCraft」で38万2123名の顧客情報が閲覧可能に、手順書への管理者アカウント誤記載が原因
FortinetのFortiSOAR / FortiWebに新たな認証関連の脆弱性(CVE-2025-59808／CVE-2025-64471)
イギリス政府、ハッカーやランサムウェア グループへの身代金 支払いの禁止を発表
SonicWall「SMA1000」シリーズに深刻なSSRF 脆弱性(CVE-2025-40595)
Microsoft Edgeに深刻な2件の脆弱性(CVE-2025-6554,CVE-2025-49713)
Cisco ISEに高深刻度のDoS 脆弱性（CVE-2025-20343）
Notepad++のアップデータに深刻な脆弱性、更新プロセスを乗っ取られマルウェアが配布される恐れ(CVE-2023-40031)
