Abrir un archivo XZ especialmente diseñado con 7-Zip podría permitir a un atacante ejecutar código en la máquina. La falla, CVE-2026-14266, es un desbordamiento del búfer basado en montón en la forma en que el archivador maneja los datos fragmentados XZ, y fue detallada por la Iniciativa de Día Cero (ZDI) de Trend Micro el 15 de julio. La solución se publicó en 7-Zip 26.02 el 25 de junio.
Según el aviso, el desbordamiento permite a un atacante «ejecutar código en el contexto del proceso actual». El código se ejecuta utilizando un token que posee 7-Zip y no obtiene ningún privilegio propio.
En Windows, cuando normalmente se inicia 7-Zip, se ejecuta con un token de usuario estándar filtrado, incluso si se trata de una cuenta de administrador, por lo que un atacante hereda estos privilegios limitados a menos que el programa se inicie con privilegios de administrador. Este error fue informado por Landon Peng de Lunbun LLC y reportado a 7-Zip el 5 de junio.
ZDI califica el fallo como 7.0 o «alto», no «crítico», como llegan a algunos artículos. El vector CVSS 3.0 completo es AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H. AV:L es un vector de ataque local en lugar de un vector de ataque accesible en red o sin clic.
La «ejecución remota de código» de ZDI se refiere a la distribución de un archivo por parte de un atacante remoto que requiere que la víctima abra el archivo, ya sea que llegue por correo electrónico, descarga o una página web pasada a 7-Zip. La alta complejidad del ataque dificulta aún más una explotación fiable. Hasta el 20 de julio de 2026, The Hacker News no ha encontrado ninguna prueba pública de concepto ni informes confiables sobre la explotación de este error en el mundo real.
Hacker News comparó las fuentes del decodificador XZ entre lanzamientos. Esta solución se aplica a una función llamada MixCoder_Code en C/XzDec.c. Cuando la secuencia XZ ejecutó la salida a través del filtro, al decodificador se le pasó la longitud completa del búfer de salida en cada pasada, en lugar del espacio dejado después de las escrituras anteriores. Esto le brinda más espacio para trabajar del que cabe en el búfer y lo coloca en una situación de escritura que está fuera del rango que describe ZDI.
La versión 26.02 resta el número de bytes ya escritos y los rescata si el total acumulado excede el búfer. El mismo manejo defectuoso de la longitud no parece haber cambiado en las fuentes de 7-Zip al menos hasta la versión 21.07 (2021), pero ni ZDI ni 7-Zip han revelado qué versiones son realmente explotables.
CVE-2026-14266 es el último de una serie de errores de seguridad de la memoria en el controlador de archivos de 7-Zip. El 27 de abril, la versión 26.01 corrigió un lote de aquellos que contenían CVE-2026-48095 de mayor puntuación, desbordamiento de escritura del controlador NTFS, que GitHub Security Lab detalló en una prueba de concepto funcional el 22 de mayo. La falla XZ es la más silenciosa de las dos fallas anteriores, y 26.02 agrupa todas estas correcciones, por lo que una actualización las cubre todas.
Por lo tanto, actualice a 7-Zip 26.02 o posterior en todas las máquinas que abren archivos externamente. Las actualizaciones se instalan manualmente desde el sitio web oficial, por lo que las máquinas que acaba de configurar no recibirán actualizaciones automáticamente. Los productos que envían copias vulnerables del decodificador XZ de 7-Zip requieren correcciones específicas del proveedor.
El parche se lanzó 20 días antes del aviso, por lo que aquellos que actualizaron a finales de junio fueron atacados antes de que se hicieran públicos los detalles. Al actualizar, puede anticipar problemas de manera proactiva en lugar de perseguirlos.
Source link
