В 7-Zip 26.02 исправлена RCE‑уязвимость в декодере XZ

В архиваторе 7-Zip версии 26.02 устранена уязвимость CVE-2026-14266 удалённого выполнения произвольного кода в декодере XZ. Задача получила оценку 7,0 балла по шкале CVSS. Уязвимость обнаружил ИБ‑исследователь компании Lunbun LLC Лэндон Пэн. Данные об уязвимости опубликована в середине июля 2026 года в рамках инициативы Zero Day Initiative.

26 июня 2026 года разработчик Игорь Павлов показал версию открытого архиватора 7-Zip 26.02 с исправлением ошибок и уязвимостей, которые на момент выпуска обновления архиватора не были раскрыты..

Уязвимость CVE-2026-14266 вызвана переполнением буфера в куче при обработке специально подготовленных сжатых данных формата XZ. Для её эксплуатации требуется взаимодействие с пользователем, который должен открыть или иным способом передать 7-Zip вредоносный файл. В результате успешной атаки злоумышленник может выполнить произвольный исходник с правами текущего процесса.

В 7-Zip исправили расчёт оставшегося пространства в выходном буфере декодера. Обновлённый код архиватора проверяет, не превышает ли уже записанный объём размер буфера, и учитывает эти информация перед продолжением распаковки. Поскольку в 7-Zip отсутствует встроенная функция автоматического обновления, пользователям необходимо самостоятельно скачать и установить актуальную версию. Подобная уязвимость может использоваться в фишинговых рассылках и других атаках с применением социальной инженерии, при которых жертве предлагают открыть специально подготовленный архив или файл.

По состоянию на 20 июля 2026 года публично подтверждённых атак с эксплуатацией CVE-2026-14266 не обнаружено. В открытом доступе опубликован PoC, но полноценного публичного RCE‑эксплойта пока не представлено, хотя вероятность его последующей разработки исключать нельзя.