7-Zip高危漏洞CVE-2026-14266

网安百色

2026年7月18日 18:39
广西

在小说阅读器读本章

去阅读

7-Zip作为全球最广泛使用的开源文件归档工具之一，新披露的漏洞可能允许远程攻击者在受影响系统上执行任意代码。该漏洞编号为CVE-2026-14266，源于对XZ分块数据的不当处理，已在最新软件更新中修复。

漏洞存在于7-Zip处理XZ压缩数据流的方式中。具体而言，特制的XZ分块数据会触发基于堆的缓冲区溢出——当写入缓冲区的数据超出其分配空间时发生的内存破坏问题。

攻击者可利用此溢出在当前进程上下文中执行恶意代码，可能获取与登录用户相同的权限。

利用需用户交互，即攻击者无法在无受害者操作的情况下远程入侵系统。触发漏洞需目标执行以下任一操作：
• 打开恶意构造的归档文件，或
• 访问用于投递特制XZ载荷的恶意网页

根据Zero Day Initiative通告，一旦受害者打开文件或触发关联操作，畸形XZ数据将导致7-Zip溢出堆缓冲区，使攻击者代码在后台静默执行。

全球数百万个人、企业和IT管理员使用7-Zip进行文件压缩与解压，尽管需用户交互，该漏洞仍具重大影响。

攻击者常依赖钓鱼邮件等社会工程手段诱导用户打开含恶意归档文件的附件，使此漏洞极易被武器化用于恶意软件投递、勒索软件部署或复杂攻击链的初始入侵。

由于7-Zip默认处理压缩文件时不进行深度内容检测，用户可能误判恶意XZ归档文件为合法文件而无意中解压。

补丁与缓解措施
漏洞已在7-Zip 26.02版本修复。强烈建议用户和组织：
• 立即升级至7-Zip 26.02或更高版本
• 避免打开来源未知或不可信的归档文件
• 启用邮件附件扫描以在投递前拦截恶意压缩文件
• 对员工进行安全培训，警示打开非请求压缩附件的风险

该漏洞由Lunbun LLC的Landon Peng发现并报告，推动了促成及时补丁的责任披露流程。

作为恶意软件投递的常见载体，CVE-2026-14266警示我们：即使受信任且广泛部署的软件也可能存在关键内存安全缺陷。用户应优先完成7-Zip补丁部署，并保持谨慎的文件处理习惯，以降低此类威胁的暴露风险。

本公众号所载文章为本公众号原创或根据网络搜索下载编辑整理，文章版权归原作者所有，仅供读者学习、参考，禁止用于商业用途。因转载众多，无法找到真正来源，如标错来源，或对于文中所使用的图片、文字、链接中所包含的软件/资料等，如有侵权，请跟我们联系删除，谢谢！