遍在するツールに潜むリスク:7-ZipのRCE脆弱性が示す警鐘

7-Zipはバージョン26.02をリリースし、ユーザーが悪意を持って細工されたアーカイブを開いた際に発動するリモートコード実行の脆弱性を修正した。この一文は戦略的問題を過小評価している。脆弱性はソフトウェア自体ではなく、それが企業全体にどのように伝播するかにある。

7-Zipは地球上で最も広く配布されているユーティリティの一つであり、ビルドパイプラインにバンドルされ、インストーラーに埋め込まれ、バックアップツールに組み込まれ、CISOが一度も棚卸ししたことのない開発者のノートパソコンやファイルサーバーに静かに存在している。自動アップデート機能も中央管理レイヤーも持たない。この組み合わせ――ほぼ普遍的なリーチとゼロのパッチオーケストレーション――はまさに攻撃者が重視するプロファイルである。2024年から2025年にかけてのサプライチェーン攻撃の波(MOVEitからXZ Utilsまで)は、最も影響力の大きい標的は華やかなプラットフォームではなく、誰もが信頼し誰も管理していない見えない配管であることを証明した。

ここでの攻撃経路は平凡であり、それゆえに危険である。電子メール、共有ドライブ、または侵害されたダウンロードを介して配信される細工されたファイルだ。脅威グループは、アーカイブが多くのコンテンツフィルターをバイパスするため、アーカイブ解析のバグとソーシャルエンジニアリングを日常的に連鎖させる。CI/CD内部やインターネットに面したファイルゲートウェイでパッチ未適用のインスタンスを実行している企業にとって、これは理論上のものではなく現実的な初期アクセスベクターである。

グローバルテクノロジーリーダーにとっての深い教訓は、この特定のCVEではなくガバナンスである。無料で寛容にライセンスされたユーティリティには、ベンダーのSLAも、プッシュ型更新インフラも、障害発生時の説明責任もない。現在米国とEUの調達規則で登場しているSoftware Bill of Materials義務は、まさにこれらの盲点を可視化するために存在する。「7-Zipが当社の資産のどこで動作しているか」に答えられない企業は、何百もの同様の依存関係についても答えられない。

推奨される対策:エンドポイントとビルドエージェント全体で直ちに26.02にパッチを適用する。SBOMとエンドポイントツールを使用して、埋め込まれたコピーを含むすべてのインスタンスを特定する。アーカイブ処理ライブラリを監視対象のリスクカテゴリとして扱う。自動更新機能のないツールについては、管理された代替手段またはラッパーポリシーを評価する。投資家と買収者は、依存関係の衛生管理をデューデリジェンスのシグナルとして扱うべきである――それは全体的なセキュリティ成熟度の信頼できる指標である。