7-Zip, un file XZ può eseguire codice: aggiornate subito alla 26.02

Un archivio XZ preparato ad arte può trasformare una normale operazione di estrazione file in un tentativo di esecuzione di codice sul computer della vittima. La vulnerabilità, identificata come CVE-2026-14266, interessa il codice con cui 7-Zip gestisce determinati flussi compressi. Il problema non consente un attacco automatico attraverso la rete: l’utente deve aprire, verificare o estrarre il file malevolo: resta comunque una falla da non sottovalutare, soprattutto negli ambienti in cui gli archivi arrivano continuamente tramite email, browser, piattaforme di collaborazione e procedure automatizzate.

7-Zip gestisce da molti anni non soltanto il formato 7z, ma anche ZIP, TAR, GZIP, XZ e numerosi altri formati di immagini disco. Tale ampiezza funzionale costituisce uno dei suoi punti di forza, ma aumenta anche la quantità di codice incaricato di interpretare dati non affidabili.

Nel 2026 il progetto ha già corretto diverse violazioni della memoria nei gestori degli archivi compressi; la nuova falla XZ si inserisce quindi in una sequenza di problemi distinti, accomunati dalla necessità di elaborare strutture binarie complesse senza oltrepassare i limiti dei buffer.

Come nasce l’overflow nel decoder XZ di 7-Zip

La vulnerabilità risiede in una funzione di 7-Zip (MixCoder_Code) che coordina la decodifica LZMA2 e l’eventuale applicazione dei filtri previsti dal formato XZ. Un flusso XZ, infatti, può contenere una catena di trasformazioni: il decoder produce i dati decompressi, mentre filtri successivi rielaborano l’output, per esempio per migliorare la compressione di codice eseguibile relativo a determinate architetture.

I ricercatori hanno scoperto che un flusso XZ costruito “ad arte” poteva causare, con 7-Zip, una scrittura fuori dai limiti della memoria allocata.

Un heap-based buffer overflow può corrompere oggetti adiacenti in memoria, alterare puntatori o modificare strutture usate dal processo durante le operazioni successive. Nello scenario meno grave, 7-Zip termina in modo anomalo. In condizioni favorevoli all’attaccante, la corruzione può modificare il flusso di esecuzione e portare all’avvio di codice arbitrario.

La patch, già disponibile sul sito di 7-Zip e integrata nella release 26.02, interviene confrontando la dimensione del buffer con il totale già scritto, producendo un messaggio d’errore in caso di anomalie.

Perché si parla di esecuzione di codice remota

Il bollettino pubblicato da Zero Day Inititative (Trend Micro) descrive CVE-2026-14266 come una vulnerabilità di remote code execution. L’aggressore può infatti consegnare il file malevolo, capace di sfruttare la vulnerabilità insita in 7-Zip (versioni precedenti alla 26.02), tramite un allegato, un collegamento, un sito web, un archivio condiviso o un servizio di messaggistica.

L’elaborazione pericolosa, però, avviene sul computer della vittima e richiede un’azione: aprire il file, provarne l’integrità oppure estrarne il contenuto. Non esiste un servizio di rete di 7-Zip che possa ricevere direttamente il payload e attivare la falla senza alcuna interazione dell’utente.

L’assenza di un exploit semplice non rende accettabile mantenere una versione vulnerabile di 7-Zip: una volta chiarita la causa nel sorgente, ricercatori e gruppi criminali possono studiare tecniche più affidabili.

È importante osservare che il codice malevolo opererebbe con gli stessi diritti del processo 7-Zip: la vulnerabilità CVE-2026-14266 non include un meccanismo autonomo di elevazione dei privilegi. Se l’applicazione gira come utente standard, anche il payload resta vincolato a quel livello di accesso.

La situazione cambia quando 7-Zip fosse eseguito come amministratore, richiamato da un processo elevato o integrato in procedure che operano con account dotati di privilegi più ampi.

Il rischio non riguarda soltanto l’applicazione desktop

7-Zip è spesso percepito come un programma installato manualmente dall’utente, ma il suo codice può comparire anche dentro altre applicazioni.

Software di backup, strumenti forensi, gestori di file, soluzioni per la distribuzione dati, appliance e prodotti commerciali possono incorporare la libreria 7z o parti del decoder XZ.

Aggiornare 7-Zip sul PC non corregge automaticamente una copia del codice inclusa in un altro prodotto. Le aziende dovrebbero quindi verificare sia le installazioni autonome sia i componenti integrati.

Anche i server meritano attenzione. Script di importazione, sistemi antimalware, gateway email e piattaforme di analisi possono estrarre automaticamente gli archivi ricevuti: in uno scenario simile l’interazione umana potrebbe ridursi o addirittura scomparire, perché il file è passato al decoder da un processo automatizzato.