無料の圧縮・解凍ソフト7-Zipの脆弱性が公表され、2026年9月3日公開のv26.03で修正されました。長く使われている定番ソフトなので、心当たりのある方も多いはずです。
とはいえ、7-Zipを入れているだけですぐ被害に遭う話ではありません。慌ててアンインストールする必要もないので、まずは落ち着いて読んでみてください。
気をつけたいのは、7-Zipには自動で新しい版へ入れ替わる仕組みがないことです。放っておくと古いままなので、自分の手で入れ替える必要があります。
- 7-Zipの脆弱性はv26.03（2026年9月3日公開）で修正済み
- 影響を受けるのはv26.02以前。識別番号はCVE-2026-58052
- 内容は「MotW＝ダウンロード元を示す印」が引き継がれないこと
- 7-Zipは自動更新されないので、公式サイトから手動で入れ替える
- 危ないのは、ネットで拾った書庫を展開して中身を起動する場面
7-Zipの脆弱性はv26.03で修正済み｜結論、今すぐ更新すれば大丈夫
今回の7-Zipの脆弱性とは、細工された書庫（＝複数のファイルをまとめて圧縮したもの）を展開したときに、そのファイルがインターネットから来たことを示す印が引き継がれないことがある、という不具合です。
修正されたのは「印が引き継がれない」という1点
開発元は2026年9月3日にv26.03を公開しました。7-Zip公式のバージョン履歴に、識別番号CVE-2026-58052として今回の修正が記載されています。
| 確認したい点 | 内容 |
|---|---|
| 対象 | 7-Zip（Windows版） |
| 影響を受ける版 | v26.02以前 |
| 修正版 | v26.03（2026年9月3日公開） |
| 識別番号 | CVE-2026-58052 |
| 症状 | 細工されたRAR5書庫の展開時にMotWが保持されないことがある |
| 対処 | 公式サイトからv26.03を入れて上書きする |
引き金になるのは、細工されたRAR5書庫（＝圧縮ソフトWinRARの新しい形式）の展開だと窓の杜が報じています（2026年9月7日の記事）。表の内容はいずれも2026年9月8日に一次情報で確認したものです。
v26.02以前を使っているなら、やることは更新だけ
気にかけたいのは、古い版を入れたまま忘れている場合です。v26.03へ入れ替えれば今回の7-Zipの脆弱性は解消しますので、ソフトそのものを消す必要はありません。
7-Zipでは過去にもMotWを回避する種類の脆弱性が報じられたことがありました。いずれもその都度、最新版で塞がれてきたという経緯があります。
アプリの不具合を更新で塞ぐという流れは、ASUSのArmoury Crateで見つかった脆弱性のときと同じ形です。手順を一度覚えれば、次に似た報道が出たときにも動けます。
7-Zipが急に危険なソフトになった、という話ではありません。修正版がもう出ているので、入れ替えれば終わります。
MotW（Mark of the Web）とは？ダウンロードしたファイルに付く「出どころの印」
上の図は、印が付いているファイルと、印が外れてしまったファイルの違いを表したイメージ図です。7-Zipの脆弱性で起きるのは、右側の状態です。
MotWが付いていると、開く前にWindowsが警告してくれる
MotW（Mark of the Web）とは、インターネットからダウンロードしたファイルにWindowsが付ける「出どころの印」のことです。
この印はファイル本体の中ではなく、NTFSの代替データストリーム（＝ファイルに寄り添う見えないメモ欄）という仕組みに書き込まれます。窓の杜も同じ説明をしています。
印の付いたファイルを開こうとすると、Windowsは発行元を確認できないという趣旨の画面を出します。この一手間が、うっかりクリックを止めるブレーキになっています。
印が消えると、警告なしでファイルを開いてしまう
逆に印が付いていなければ、Windowsはそのファイルを自分の手元で作ったものと同じように扱います。確認画面は出ず、ダブルクリックでそのまま動き出します。
今回の7-Zipの脆弱性は、この印が展開後のファイルへ引き継がれないことがある、というものでした。窓の杜はユーザーへの警告が適切に届かないおそれがあると説明しています。
| ファイルの状態 | Windowsの動き | 読者にとっての意味 |
|---|---|---|
| 印あり | 開く前に確認画面が出る | 一度立ち止まって考えられる |
| 印なし | 確認画面が出ない | そのまま起動してしまう |
実際どのくらい危ない？7-Zipの脆弱性が問題になる場面と、そうでない場面
「印が消える」と聞くと不安になりますが、それだけで被害が生まれるわけではありません。危険が形になるには、いくつかの条件が重なる必要があります。
危険が現実になるのは3つの条件が重なったとき
- ネットから入手した書庫であること
- それをv26.02以前の7-Zipで展開すること
- 展開した中の実行ファイルを自分で起動すること
この3つがそろったとき、本来出るはずの確認画面が出ないまま、素性の分からないプログラムが動いてしまう可能性があります。印は最後の防波堤なので、消えると気づく機会が減ります。
PCゲーム好きの方に身近なのは、MODや配布ツールを個人サイトからまとめて落とす場面です。配布元がはっきりしないファイルほど、印の有無が意味を持ちます。
心当たりのない配布サイトから落とした実行ファイルは、7-Zipを更新したかどうかにかかわらず起動しないでください。
逆に、慌てなくていいケース
よくある疑問：自分で作った書庫を7-Zipで開くだけでも危ないの？
自分で作った書庫や、社内・手元だけでやり取りしているファイルには、そもそもMotWが付きません。今回の条件には当たりません。
Windows標準の「すべて展開」しか使っていない場合も、7-Zipを通していないため対象外です。ただし別の場面で7-Zipを開くなら、更新はしておいた方が落ち着きます。
該当するか悩む時間より、v26.03へ入れ替える時間の方が短いです。作業は5分もかかりません。
7-Zipのバージョン確認と、v26.03への更新手順
ここからは実際の作業です。今の7-Zipのバージョンを見て、v26.02以前だったら入れ替える、という順番で進めます。
まず今の7-Zipのバージョンを確認する
7-Zipのファイルマネージャーを起動し、メニューバーのヘルプからバージョン情報を開くと、先頭に番号が表示されます。
Windowsの「設定」から「アプリ」→「インストールされているアプリ」と進み、一覧の7-Zipの行を見る方法でも確認できます。番号が26.03より小さければ更新の対象です。
自分のPCの構成やWindowsの版を調べる手順は、Windows 11でPCのスペックを確認する方法にまとめています。32ビットか64ビットかで迷ったときはこちらを先に見てください。
公式サイトから最新のインストーラーを入れる
公式のダウンロードページには、2026年9月8日時点でv26.03（2026-09-03）が並んでいます。自分のWindowsに合うものを1つ選びます。
| 配布されている種類 | 選ぶ人 |
|---|---|
| 64-bit Windows x64 | 今のふつうのWindows PCを使っている人（多数派） |
| 32-bit Windows x86 | 古い32ビット版のWindowsを使っている人 |
| 64-bit Windows ARM64 | ARM版Windowsの薄型ノートPCを使っている人 |
公式ページにはmsiよりもexe形式のインストーラーを推奨すると書かれています。迷ったら「64-bit Windows x64」のexeで問題ありません。
ブラウザーで 7-zip.org のダウンロードページを開きます。検索結果の広告枠は使わず、アドレス欄のドメイン名を目で確かめてください。
上の表を参考に、「64-bit Windows x64」などの行からexe形式のリンクをクリックします。
保存されたインストーラーをダブルクリックし、画面の案内に沿って進めます。
古い7-Zipは自動的に置き換わります。終わったらもう一度バージョン情報を開き、v26.03になったか確かめます。
上書きで入るため、先にアンインストールする必要はありません。関連付けなどの設定は7-Zip側に残るので、多くの場合そのまま使い続けられます。
7-Zipは自動更新されない｜今後の付き合い方と入手先の注意
今回いちばん覚えておきたいのは、7-Zipの更新は自分で始めないと進まない、という点です。
更新のきっかけは自分で作るしかない
公式のダウンロードページは、インストーラーを配る形だけで作られています。アプリの中から更新を促す導線は用意されていません（2026年9月8日時点）。
そのため、半年に一度くらい公式ページを開いて番号を見比べる習慣にしておくと安心です。カレンダーに繰り返しの予定を入れてしまうのが手軽な方法です。
こうした「自分のPCの状態を定期的に見る」話としては、セキュアブートの証明書の期限も同じ性質の話題です。
なお、v26.03ではセキュリティ以外にも、Joliet形式のISOイメージと複合ドキュメント（Compound）書庫の対応が改善されています。更新して損はない内容です。
入手先は公式サイト以外を使わない
7-Zipは人気があるぶん、名前を借りた配布ページも見かけます。入手先は 7-zip.org だけと決めてしまうのが確実です。
検索したときに上位へ出る広告枠や、まとめサイト経由のダウンロードは避けてください。クリックの前にドメイン名を確かめる癖をつけるだけで、かなり防げます。
更新の作業そのものはすぐ終わります。あとは「次にいつ見るか」を決めておけば大丈夫です。
この記事のまとめ
最後に、今日のうちに済ませておきたいことだけを並べます。
- 7-Zipのバージョン情報を開き、v26.02以前かどうかを見る
- 古ければ 7-zip.org からv26.03のexeを入れて上書きする
- 更新後にもう一度番号を開き、v26.03になったか確かめる
- 出どころの怪しい書庫や実行ファイルは、そもそも起動しない
- 次に公式ページを見る日をカレンダーに入れておく
7-Zipの脆弱性は、更新さえ済ませてしまえば終わる話です。数分の作業で、印が消える心配は無くなります。
- Windows標準の「すべて展開」を使っている場合も影響を受けますか？
-
今回のCVE-2026-58052は7-Zipの不具合なので、7-Zipを通さずWindowsの機能だけで展開している場合は対象外です。ただし別の場面で7-Zipを使うなら、更新しておくことをおすすめします。
- v26.02以前を使い続けると必ず被害に遭いますか？
-
いいえ。細工された書庫を展開し、その中の実行ファイルを起動して初めて問題になります。
ただし、CVE-2026-58052が公開されたのは2026年6月28日で、修正版のv26.03が出るまで2か月以上ありました。その間の2026年7月に、セキュリティ企業のEmpirical Securityが悪用とみられる通信を観測したと公表しています。
米CISAの「悪用が確認された脆弱性カタログ（KEV）」には2026年9月8日時点で載っていませんが、後回しにしてよい話ではありません。
- 更新すると設定や関連付けはやり直しになりますか？
-
上書きインストールになるため、7-Zip側の設定は基本的に引き継がれます。気になる場合は、更新後に右クリックメニューから7-Zipの項目が出るか確かめてください。
- Linux版やmacOS版はどうすればいいですか？
-
今回の内容はWindowsのMotWに関わるものです。公式ページではLinuxやmacOS向けも配布されているので、そちらも最新版へ入れ替えておくと安心です。
- これまでに展開したファイルはどうすればいいですか？
-
心当たりのない書庫から取り出した実行ファイルは、起動せずに削除するのが安全です。必要なものは、配布元の公式サイトから入手し直してください。
