Un archivio XZ costruito in modo malevolo può trasformare una semplice estrazione file in un rischio serio per il sistema. È questo il cuore di CVE-2026-14266, una vulnerabilità che riguarda il modo in cui 7-Zip gestisce alcuni flussi compressi e che, in casi sfavorevoli, può sfociare in esecuzione di codice.
La falla non si attiva da sola tramite la rete: serve un’azione dell’utente, come aprire, verificare o estrarre l’archivio. Anche così, però, resta un problema da prendere sul serio, soprattutto in contesti in cui i file compressi arrivano di continuo via email, browser, servizi di collaborazione o processi automatici.
7-Zip e la vulnerabilità CVE-2026-14266 nei file XZ
7-Zip è apprezzato perché supporta molti formati, dal classico 7z a ZIP, TAR, GZIP e XZ. Proprio questa ampia compatibilità, però, implica una quantità elevata di codice dedicato a interpretare dati che non sempre sono affidabili. Quando un archivio è creato ad arte, il rischio di errori nella gestione della memoria aumenta.
Nel caso di CVE-2026-14266, il problema si concentra nella funzione che coordina la decodifica LZMA2 e l’applicazione di eventuali filtri previsti dal formato XZ. Un file manipolato può indurre 7-Zip a scrivere oltre i limiti del buffer allocato, generando un heap-based buffer overflow.
Come può avvenire il danno
Un overflow di questo tipo può corrompere oggetti vicini in memoria, alterare puntatori o compromettere strutture usate dal processo durante le operazioni successive. Nello scenario più semplice, il programma si chiude in modo anomalo. In scenari più favorevoli all’attaccante, la corruzione può deviare il flusso di esecuzione e consentire l’avvio di codice arbitrario.
La correzione è già disponibile e risulta integrata nella release 26.02 di 7-Zip. La patch interviene verificando in modo più rigoroso la dimensione del buffer rispetto ai dati già scritti, bloccando l’elaborazione quando vengono rilevate anomalie.
Perché è importante aggiornare subito 7-Zip
Il bollettino pubblicato da Zero Day Initiative descrive la vulnerabilità come un caso di remote code execution, ma con una precisazione importante: il file malevolo deve essere consegnato alla vittima e poi elaborato localmente. Non esiste infatti un servizio di rete di 7-Zip che possa ricevere un payload remoto e attivare la falla senza alcuna interazione.
Questo non rende il problema meno rilevante. Una volta nota la causa nel codice, ricercatori e criminali possono lavorare su tecniche di sfruttamento più affidabili. Inoltre, il codice malevolo agirebbe con i privilegi del processo 7-Zip: se il programma è eseguito come utente standard, anche l’impatto resta limitato a quel livello; se invece gira con privilegi più alti, il rischio cresce.
Va infine ricordato che 7-Zip non è solo un’app installata manualmente. Il suo codice può essere incorporato in software di backup, strumenti forensi, gestori di file, prodotti commerciali e sistemi automatici di scansione o importazione. Per questo motivo, aggiornare il programma sul singolo PC non basta sempre: le aziende devono verificare anche i componenti integrati in altre applicazioni e le copie utilizzate dai server o dai flussi automatizzati.
