Zero Day Initiative (ZDI) компании Trend Micro выявила опасную уязвимость в широко распространенной программе для архивации 7-Zip. Согласно сообщению ZDI (открывается в новом окне), злоумышленники могут незаметно внедрить вредоносный код, скрытый в специально созданных архивных файлах. Патч для устранения уязвимости доступен с конца июня, и его следует незамедлительно установить, если это еще не было сделано.

Данная уязвимость зарегистрирована как CVE-2026-14266 (открывается в новом окне) и, по данным ZDI, имеет показатель CVSS 7,0, что соответствует высокой степени серьезности.

Для успешной эксплуатации требуется взаимодействие с пользователем. Согласно информации, цель должна всего лишь "открыть вредоносную страницу или вредоносный файл".

Причина кроется в обработке данных блоков XZ. Сообщается, что с помощью специально сжатых данных XZ может быть вызвано переполнение буфера в куче. Это потенциально позволяет выполнить вредоносный код в контексте текущего процесса.

Патч доступен

По имеющимся данным, уязвимость CVE-2026-14266 была обнаружена исследователем безопасности по имени Лэндон Пэн (Landon Peng). Уязвимость была сообщена разработчику 7-Zip Игорю Павлову 5 июня. Павлов предоставил патч 25 июня с выходом версии 7-Zip 26.02, после чего ZDI 15 июля опубликовала свое уведомление об уязвимости.

Скачать 7-Zip 26.02 можно в разделе загрузок на сайте 7-zip.org (открывается в новом окне). Однако разработчик 7-Zip также не раскрывает подробные детали о CVE-2026-14266. В информации о релизе (открывается в новом окне) новой версии лишь говорится, что "были исправлены некоторые ошибки и уязвимости", без их указания или подробного описания.

Также в предыдущей версии 7-Zip 26.01 от 27 апреля Павлов исправил опасную уязвимость, связанную с выполнением кода, в своей программе для архивации. Она также эксплуатировалась простым открытием специально созданного файла. Для всех, кто все еще использует версию 7-Zip, выпущенную до версии 26.01, обновление до последней версии будет вдвойне полезным.