Kritische Sicherheitslücke in 7-Zip erlaubt Fernausführung von Code – Update auf 26.02 empfohlen
Eine schwerwiegende Sicherheitslücke in der Komprimierungssoftware 7-Zip, die die Ausführung von beliebigem Code aus der Ferne ermöglicht, wurde in Version 26.02 behoben.
Die weit verbreitete Komprimierungssoftware 7-Zip weist eine kritische Sicherheitslücke auf, die es Angreifern ermöglicht, beliebigen Code aus der Ferne auszuführen. Die Schwachstelle, die als CVE-2026-14266 mit einem CVSS-Score von 7.0 eingestuft wird, betrifft die Verarbeitung von XZ-komprimierten Dateien.
Sicherheitsforscher von Zero Day Initiative (ZDI) berichten, dass das Problem auf einem Pufferüberlauf (Heap-based Buffer Overflow) beruht, der auftritt, wenn 7-Zip segmentierte Daten in XZ-Archiven verarbeitet. Ein Angreifer könnte diese Lücke ausnutzen, indem er einen Benutzer dazu verleitet, eine speziell präparierte XZ-Datei zu öffnen. Dies könnte es dem Angreifer ermöglichen, bösartigen Code auf dem System des Opfers auszuführen.
Die Entwickler haben die Schwachstelle in der am 25. Juni veröffentlichten Version 26.02 von 7-Zip behoben. Nutzern wird dringend empfohlen, umgehend auf diese neueste Version zu aktualisieren, um Sicherheitsrisiken zu vermeiden.
ZDI hat die Lücke erstmals am 5. Juni den 7-Zip-Entwicklern gemeldet. Die Veröffentlichung des Berichts nach dem Prozess der koordinierten Offenlegung erfolgte am 15. Juli. Anwender, die noch ältere Versionen verwenden, sind weiterhin anfällig für Angriffe.