Bandizip 是一套 Windows 與 macOS 上的壓縮檔管理程式，解壓側覆蓋四十多種格式，壓縮側支援十餘種，靠多核壓縮把時間壓下來。七月到十一月之間它連發四個版本，其中 7.47 這一版集中在安全上：一次性補掉了卸載程式權限提升、網路標記處理、符號連結處理三處漏洞。常從網路上下載別人的壓縮檔再解開的使用者，值得花兩分鐘把版本跟上。

壓縮檔是一個容器，解開它的那一刻，裡面的路徑、連結與檔案屬性都會落到你的磁碟上。容器本身不會作惡，作惡的是它攜帶的東西。

第一處：卸載程式裡的權限提升

這一條編號 KVE-2026-2462，問題出在卸載流程。按官方更新日誌的說法，卸載過程中存在任意程式碼可能以權利人權限執行的路徑。權限提升類漏洞的危險之處不在它能做什麼，而在它把使用者原有的防線拿掉了：一個本該只能改自己目錄的程式，忽然有了動系統目錄的權力。修補方式在 7.47 裡已經落地，實際影響面取決於本機是否有其他程式能觸發這段流程。

第二處：網路標記的去向

網路標記是 Windows 給從網路下載的檔案打的一個記號，存在檔案串流的備用資料區裡。帶記號的檔案打開時，Office 會進保護檢視，指令碼會被攔下，瀏覽器下載的執行檔會多彈一次確認。壓縮檔是這套機制最容易出岔子的地方：解出來的檔案要不要繼承壓縮檔本身的記號，取決於解壓程式的判斷。7.47 修的就是這個判斷環節的兩處問題，編號 KVE-2026-2248 與 KVE-2026-2099，另有一處由外部研究者回報。

判斷出錯的結果是記號遺失，解開之後的檔案被系統當成本機檔案，該攔的提示不再出現。這一條對日常使用的影響比聽起來實在。很多人把「下載壓縮檔、解開、雙擊執行」當成一條連貫動作，中間那道確認框是唯一的緩衝。緩衝消失之後，剩下的全靠解壓前的判斷。

第三處：符號連結的處理

壓縮檔格式允許內部項目是符號連結。正常情況下解壓只會在目標目錄裡產生檔案，而連結指向的位置可以在這個目錄之外。處理不當的解壓程式會順著連結把內容寫到別的路徑去，覆蓋什麼、寫到哪，取決於壓縮檔是誰做的。7.47 修的這條編號 KVE-2026-2229，屬於同一類問題的第三處。

三條放在一起看，邏輯是一致的

它們都不是「壓縮演算法算錯了」，而是「邊界沒守住」。解壓本身是一次跨邊界的寫入，權限、記號、路徑三樣東西都屬於邊界的一部分。

Bandizip 平時靠什麼幹活

拋開安全補丁，Bandizip 的日常價值在格式覆蓋與操作路徑上。解壓側列出四十多種格式，ZIP、RAR、7Z、ALZ、EGG、WIM、XZ、ZPAQ 這些常見與不常見的都在裡面；壓縮側支援 ZIP、7Z、ZIPX、EXE 自解壓、TAR、TGZ、LZH、ISO、GZ、XZ，分卷壓縮與 4GB 以上的大檔案也照顧到了。多核壓縮是它一直在強調的點，官方給的數字是最高六倍提速。

用起來最省事的是右鍵選單與智慧解壓。壓縮和解壓都能在檔案總管裡直接完成，不必先開主視窗；智慧解壓會看壓縮檔裡的檔案數量自己決定要不要建資料夾，只有一個檔案時直接攤開，有多個檔案時新建一層目錄，省掉解完再手動清理多餘資料夾的步驟。加密走 AES-256，密碼可以按壓縮檔單獨設定。另一個常被忽略的能力是不解壓就修改壓縮檔內的檔案，刪除、重新命名、加入都能在清單裡完成，對付那種幾百兆的封存檔很實用。

它自帶的兩道檢查

解壓完成後可以跑一次完整性檢測，確認解出來的檔案沒有在傳輸中損壞。壓縮檔內的惡意程式碼檢測用的是微軟提供的反惡意軟體掃描介面，檢測發生在解壓之前的清單層面，能在檔案落到磁碟之前給出提示。這兩項都不取代防毒軟體，但把檢查點提前到了「打開之前」。

專業版另有幾件工具：密碼管理員負責記住各壓縮檔的密碼，修復壓縮檔會分析損壞的 ZIP 並盡量搶救內容，密碼恢復走的是暴力嘗試，圖片預覽則讓壓縮檔內的照片不必解開就能看縮圖。免費版已經覆蓋壓縮、解壓與主流格式，官方在常見問題裡明確寫了商業環境可以免費使用。

該不該現在就更新

如果你只是偶爾解壓自己打的壓縮檔，風險敞口不大，什麼時候更新都行。如果你的工作流程裡經常出現別人送來的壓縮檔、從論壇或網路硬碟下載的素材包，那麼這次值得當成必修：三處漏洞全部與「解開外部壓縮檔」這個動作相關，而攻擊面恰好就在這條路徑上。

更新之前可以先看一眼目前版本號，7.47 是這輪修補的落點，官網標註的發布日期是 2026 年 10 月 13 日。低於這個版本的安裝，在解壓來路不明的壓縮檔時都少了一層保障。