La nueva vulnerabilidad 7-Zip podría permitir que los archivos XZ creados ejecuten código durante la extracción – CYBERDEFENSA.MX
Abrir un archivo XZ diseñado en 7-Zip podría permitir que un atacante ejecute código en la máquina. el defecto, CVE-2026-14266es un desbordamiento de búfer basado en montón en la forma en que el archivador procesa datos fragmentados XZ y la Iniciativa de Día Cero (ZDI) de Trend Micro. lo detalló el 15 de julio. Una solución enviada el 25 de junio en 7-Zip 26.02.
El desbordamiento permite a un atacante «ejecutar código en el contexto del proceso actual», según el aviso. El código se ejecuta con el token que posee 7-Zip y no obtiene privilegios propios.
En Windows, un 7-Zip iniciado normalmente se ejecuta bajo un token de usuario estándar filtrado incluso en una cuenta de administrador, por lo que el atacante hereda esos derechos limitados a menos que el programa se haya iniciado de forma elevada. El error provino de Landon Peng de Lunbun LLC, quien lo informó a 7-Zip el 5 de junio.
ZDI califica la falla como 7.0, o Alta, no como Crítica, alcanzada en varios artículos. El vector CVSS 3.0 completo es AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H. El AV:L lo convierte en un vector de ataque local, no accesible a la red o sin clic.
La «ejecución remota de código» de ZDI describe a un atacante remoto entregando el archivo, que la víctima aún tiene que abrir, ya sea que llegue por correo electrónico, una descarga o una página web que lo entregue a 7-Zip. La alta complejidad del ataque hace que una explotación fiable sea aún más difícil. Hasta el 20 de julio de 2026, The Hacker News no encontró ninguna prueba pública de concepto para el error ni ningún informe creíble de explotación en la naturaleza.
The Hacker News comparó la fuente del decodificador XZ en todas las versiones. La solución aterriza en una función, MixCoder_Code en C/XzDec.c. Cuando una secuencia XZ ejecuta su salida a través de un filtro, el decodificador recibió la longitud completa del búfer de salida en cada pasada en lugar del espacio dejado después de las escrituras anteriores. Eso le dio más espacio para trabajar que el búfer que contenía, la condición de escritura fuera de límites que describe ZDI.
La versión 26.02 resta los bytes ya escritos y los rescata si ese total acumulado alguna vez excede el búfer. El mismo manejo de longitud defectuoso parece sin cambios en la fuente de 7-Zip hasta al menos la versión 21.07 (2021), aunque ni ZDI ni 7-Zip han dicho qué versiones son realmente explotables.
CVE-2026-14266 es el último de una serie de errores de seguridad de la memoria en los controladores de archivos de 7-Zip. El 27 de abril se corrigió la versión 26.01. un lote de ellosincluidos los de mayor puntuación CVE-2026-48095un desbordamiento de escritura en montón del controlador NTFS que Laboratorio de seguridad de GitHub detallado el 22 de mayo con una prueba de concepto funcional. La falla XZ es la más silenciosa de las dos hasta ahora, y 26.02 incluye cada una de estas correcciones, por lo que una actualización las cubre todas.
Por lo tanto, actualice a 7-Zip 26.02 o posterior en cada máquina que abra archivos desde el exterior. La actualización es una instalación manual desde el sitio oficial, por lo que las máquinas de configurar y olvidar no la detectarán por sí solas. Cualquier producto que envíe una copia vulnerable del decodificador XZ de 7-Zip necesita la solución de su propio proveedor.
El parche salió 20 días antes del aviso, por lo que cualquiera que lo actualizara a finales de junio quedó cubierto antes de que los detalles fueran públicos. Por una vez, la actualización le permite adelantarse al problema en lugar de perseguirlo.
