Vulnerabilidade do ZIP permite que malware comprimido passe sem dificuldades por 95% dos aplicativos antivírus

A atual corrida armamentista da cibersegurança e suas contramedidas estão cada vez mais sofisticadas e complexas. Frequentemente, localizar uma vulnerabilidade em software ou hardware exige a criação de soluções elaboradas. No entanto, mesmo em 2026, ainda é possível encontrar falhas simples, como o recentemente publicado Zombie ZIP, que permite que cargas de malware consigam contornar praticamente todas as soluções antivírus comuns.

O conceito é bem direto. A primeira parte de um arquivo ZIP, chamada de cabeçalho, contém informações sobre o conteúdo e a forma como está compactado. Se um arquivo ZIP for criado dizendo que os dados estão descompactados, mas na verdade contiver dados compactados, a maioria dos antivírus não reagirá.

Para esse software, os dados “descompactados” parecem apenas bytes aleatórios e, portanto, não se encaixam nas assinaturas conhecidas de malware. Após a divulgação da vulnerabilidade, seis dias depois, 60 de 63 suítes de antivírus comuns não detectaram essa manobra, resultando em uma taxa de sucesso de pouco mais de 95%.

O arquivo compactado falha ao ser extraído com ferramentas comuns como 7-Zip ou WinRAR, pois é tecnicamente corrompido. Contudo, é fácil combiná-lo com um pequeno programa aparentemente inofensivo que entende essa leve discrepância e extrai o malware real.

O pesquisador que descobriu a vulnerabilidade publicou um proof-of-concept em Python que utiliza cerca de doze linhas de código. Isso é preocupante o bastante para o usuário comum, mas pode se tornar um verdadeiro pesadelo para empresas com milhares de funcionários e dados sensíveis a proteger.

As soluções antivírus, por sua vez, hesitam em direcionar seus esforços aos scripts de carregamento, uma vez que o número de falsos positivos seria elevado, já que a operação de carregar dados compactados é bastante comum na maioria dos softwares, incluindo jogos.

O CERT já está trabalhando no caso e publicou um aviso sobre a vulnerabilidade. Além disso, a referência CVE-2026-0866 já foi atribuída. Até que as suítes de segurança se atualizem, é recomendável que administradores de sistemas fiquem especialmente alertas a arquivos ZIP circulando em suas redes.