Lỗ hổng 7-Zip XZ (CVE-2026-14266) có thể cho phép thực thi mã khi giải nén
"A heap-based buffer overflow in 7-Zip's XZ decoder (CVE-2026-14266) could allow crafted XZ archives to execute code during extraction in the context of the current process. The issue was fixed in 7-Zip 26.02 on June 25, 2026; updating to 26.02 or later mitigates the flaw, and no public proof-of-concept or in-the-wild exploitation was reported at the time of publication."
Lỗ hổng CVE-2026-14266 có thể dẫn tới thực thi mã khi giải nén tệp XZ, chạy trong ngữ cảnh tiến trình hiện tại. Dù AV:L và AC:H làm giảm khả năng khai thác từ xa, tác động đến confidentiality/integrity/availability được đánh giá cao.
Rủi ro chủ yếu đến từ kịch bản người dùng mở tệp XZ từ email/tải xuống/web. Việc cập nhật thủ công lên 7-Zip 26.02+ và kiểm soát các ứng dụng tích hợp 7-Zip có thể tạo chi phí vận hành, nhưng phạm vi có thể được giảm bằng quản trị bản vá và chính sách xử lý tệp từ bên ngoài.
Một lỗ hổng trong 7-Zip XZ decoder có thể khiến kẻ tấn công thực thi mã khi người dùng mở một tệp XZ được chế tạo. Theo thông tin được công bố, lỗi CVE-2026-14266 là heap-based buffer overflow xảy ra trong quá trình xử lý dữ liệu XZ dạng chunked. Bản vá đã được phát hành vào ngày 25/06/2026 trong 7-Zip 26.02.
Cơ chế khai thác được mô tả là có thể execute code in the context of the current process, tức mã độc chạy với quyền của tiến trình 7-Zip hiện tại. Trên Windows, trường hợp 7-Zip chạy theo cách thông thường thường bị giới hạn bởi filtered standard-user token, kể cả khi tài khoản đang ở mức quản trị; do đó quyền bị kế thừa có thể thấp hơn nếu không chạy nâng cao.
Về mức độ rủi ro, ZDI chấm 7.0 (High) với vector AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H, cho thấy đây là local attack vector và cần người dùng mở tệp. Tính đến thời điểm bài viết (20/07/2026), chưa ghi nhận public proof-of-concept hay báo cáo khai thác ngoài thực tế.
Khuyến nghị: cập nhật toàn bộ máy có sử dụng 7-Zip lên 26.02 hoặc mới hơn; đồng thời rà soát các sản phẩm tích hợp bản 7-Zip dễ bị ảnh hưởng để yêu cầu nhà cung cấp phát hành bản vá tương ứng.