7-Zip se ha consolidado históricamente como el estándar de facto por su ligereza y eficiencia. Sin embargo, un fallo estructural en el comportamiento predeterminado de este software está dejando a millones de equipos completamente expuestos, permitiendo que binarios maliciosos esquiven el filtro de reputación SmartScreen de Windows Defender sin emitir una sola advertencia de seguridad.
-La pérdida del Mark of the Web
El origen de esta vulnerabilidad radica en cómo el sistema operativo rastrea la procedencia de la información. Cada vez que descargamos un elemento a través de navegadores como Chrome, Edge o Firefox, el sistema adhiere de forma automática un flujo de datos oculto conocido técnicamente como Zone.Identifier, coloquialmente llamado «Mark of the Web» (MotW). Esta etiqueta invisible es, en esencia, la matrícula que Windows Defender lee para decidir si un archivo es seguro o si debe bloquear temporalmente su ejecución.
El problema crítico con 7-Zip es que, por diseño de fábrica, la opción que traslada esta etiqueta a los archivos extraídos viene desactivada. Como resultado, cuando el usuario descomprime un paquete descargado de Internet, el contenido resultante emerge en el disco duro completamente limpio de su historial web. Al carecer de esta marca, el filtro SmartScreen asume que el archivo es de origen local y seguro, permitiendo su ejecución inmediata sin contrastar su firma ni consultar la telemetría global de Microsoft.
Expertos en la arquitectura de seguridad del ecosistema de Microsoft han sido tajantes respecto a la gravedad de este tipo de fallos en herramientas de terceros:
«El Mark of the Web es la primera línea de defensa del sistema operativo moderno. Cuando un software de extracción rompe esta cadena de custodia y omite la etiqueta original, neutraliza por completo los escudos nativos del entorno, convirtiendo una simple descarga en una potencial puerta trasera que opera totalmente bajo el radar de los antivirus.»
–Una cadena de parches y la vulnerabilidad en los formatos RAR5
Lejos de ser un incidente aislado, este comportamiento, que durante años fue tolerado por algunos administradores como un simple truco para evitar ventanas molestas, ha escalado hasta registrarse oficialmente en el historial global de amenazas críticas. La documentación técnica del CVE-2025-0411 ya había advertido sobre la existencia de ataques que utilizaban archivos comprimidos anidados de forma maliciosa para limpiar intencionalmente el MotW y ejecutar código hostil.
Aunque los desarrolladores de 7-Zip intentaron mitigar esta brecha en la versión 24.09, la solución demostró ser insuficiente frente a estructuras de compresión más complejas. Recientemente, el registro CVE-2026-58052 confirmó que las versiones del compresor seguían fracasando al intentar preservar la etiqueta de seguridad cuando se trataba de extraer paquetes manipulados bajo el algoritmo RAR5. Este agujero de seguridad ha obligado a la liberación de un nuevo parche urgente, consolidado a partir de la versión 26.03 del software.
–¿Cómo sellar la brecha en tu equipo?
Si bien los certificados de firma de código legítimos y capas adicionales como Microsoft Defender for Endpoint ofrecen barreras secundarias de contención tras los cambios aplicados en 2024, depender exclusivamente de ellas cuando la barrera primaria está rota es un riesgo inasumible. Para los usuarios y profesionales que manejan archivos externos con regularidad, es imperativo tomar el control de la herramienta y forzar su correcto funcionamiento interno.
El primer paso innegociable es actualizar inmediatamente el cliente de 7-Zip a la versión 26.03 o superior, garantizando así la inclusión de los últimos parches de seguridad para la lectura de arquitecturas anidadas y ficheros RAR5.
No obstante, la actualización por sí sola no revierte el comportamiento predeterminado del programa. Es estrictamente necesario adentrarse en el menú de opciones del software, localizar el ajuste de configuración denominado «Propagar flujo Zone.Id» y cambiar manualmente su valor de «No» a «Sí». Esta simple pero vital modificación asegura que cualquier binario extraído herede de forma permanente su etiqueta de origen de Internet, devolviéndole a Windows su capacidad innata de auditar, alertar y bloquear amenazas antes de que logren comprometer la integridad del sistema.