7-Zip CVE-2026-14266: archivio XZ malevolo e overflow dell'heap, PoC pubblico su un bug del 2021

Basta aprire un file compresso. La CVE-2026-14266 è un heap-based buffer overflow con CVSS 7.0 nel decoder XZ di 7-Zip, il compressore open source installato praticamente ovunque su Windows: la funzione MixCoder_Code in C/XzDec.c riceve la lunghezza totale del buffer di output invece dello spazio residuo, e un archivio XZ predisposto con una struttura a blocchi anomala provoca scritture fuori dai limiti. L'esito potenziale è l'esecuzione di codice nel contesto del processo che sta decomprimendo. Il codice difettoso è rimasto invariato almeno dalla versione 21.07 del 2021, quindi l'esposizione ha attraversato cinque anni di release.

La segnalazione arriva dal ricercatore Landon Peng di Lunbun LLC, che ha riportato il difetto a 7-Zip il 5 giugno 2026; la correzione è entrata nella versione 26.02 del 25 giugno, che sottrae i byte già scritti e valida il risultato rispetto ai limiti del buffer, mentre la Zero Day Initiative ha pubblicato l'advisory il 15 luglio. Il 29 luglio ACN ha registrato la disponibilità di un proof of concept pubblico, ed è questo a spostare il rischio: fino a pochi giorni prima l'exploit non circolava. Va precisato per onestà che il PoC diffuso genera l'archivio che innesca la corruzione di memoria e il crash, non una catena completa di esecuzione codice, e che al momento non risultano casi di sfruttamento in rete; il vettore inoltre richiede l'interazione dell'utente, cioè che qualcuno apra o estragga l'archivio.

Che sia una condizione rassicurante è dubbio: l'archivio compresso allegato o scaricato è uno dei vettori più consolidati del phishing, e 7-Zip è di norma associato per default alle estensioni di archivio sulle postazioni Windows. A doversene preoccupare sono soprattutto due categorie: gli utenti finali con installazioni datate, aggiornate a mano e quindi spesso ferme a versioni di anni fa, e i sistemi server che decomprimono archivi in modo automatico, dai gateway di posta alle pipeline di analisi file, dove l'interazione utente di fatto non serve perché la decompressione è già automatizzata. In quel secondo scenario il difetto merita priorità alta a dispetto del CVSS.

• Versioni affette: 7-Zip, tutte le versioni precedenti alla 26.02 (difetto introdotto almeno dalla 21.07 del 2021).
• Azione raccomandata: aggiornare 7-Zip alla versione 26.02 o successiva su postazioni e server, ricordando che il prodotto non dispone di aggiornamento automatico e che le installazioni vanno censite; verificare in particolare i sistemi che elaborano archivi in modo automatizzato e le librerie di terze parti che incorporano il codice di 7-Zip.
   

Fonti: ACN, oss-security, The Hacker News, SOCRadar