Basta un archivio XZ confezionato con malizia per trasformare una banale estrazione di file in un tentativo di far eseguire codice sul computer di chi lo apre. La falla, catalogata come CVE-2026-14266, riguarda il modo in cui 7-Zip gestisce alcuni flussi compressi. Non parliamo di un attacco che parte da solo attraverso la rete, perché serve un gesto preciso della vittima, ovvero aprire, verificare o estrarre il file infetto. Detto questo, non è affatto una minaccia da liquidare con una scrollata di spalle, soprattutto negli ambienti dove gli archivi arrivano di continuo via email, browser, piattaforme di collaborazione e procedure automatiche.
7-Zip da anni gestisce non solo il suo formato 7z, ma anche ZIP, TAR, GZIP, XZ e parecchie immagini disco. Questa versatilità è uno dei motivi per cui piace così tanto, però aumenta anche la mole di codice che deve interpretare dati di cui non ci si può fidare. Nel 2026 il progetto aveva già sistemato diverse violazioni della memoria nei gestori degli archivi compressi, e questa nuova falla XZ si aggiunge a una serie di problemi distinti, tutti figli della stessa esigenza, cioè leggere strutture binarie complicate senza sforare i limiti dei buffer.
Dove nasce l’overflow nel decoder XZ
Il punto debole sta in una funzione di 7-Zip chiamata MixCoder_Code, quella che coordina la decodifica LZMA2 e l’eventuale applicazione dei filtri previsti dal formato XZ. Un flusso XZ può contenere una catena di trasformazioni. Il decoder tira fuori i dati decompressi, poi i filtri successivi rielaborano l’output, per esempio per migliorare la compressione di codice eseguibile legato a certe architetture.
I ricercatori si sono accorti che un flusso XZ costruito su misura poteva provocare una scrittura fuori dai limiti della memoria allocata. Un heap-based buffer overflow del genere può corrompere oggetti vicini in memoria, alterare puntatori o toccare strutture usate dal processo nelle operazioni seguenti. Nel caso migliore 7-Zip si chiude di colpo. In condizioni favorevoli a chi attacca, invece, la corruzione può deviare il flusso di esecuzione e arrivare fino all’avvio di codice arbitrario. La patch, già scaricabile e inclusa nella release 26.02, confronta la dimensione del buffer con quanto è stato scritto e restituisce un messaggio d’errore appena qualcosa non torna.
Perché si parla di esecuzione remota di codice
Il bollettino di Zero Day Initiative descrive CVE-2026-14266 come una vulnerabilità di remote code execution. L’attaccante può consegnare il file ostile in mille modi, tramite un allegato, un link, un sito web, un archivio condiviso o un servizio di messaggistica. L’elaborazione pericolosa però avviene sul computer della vittima e serve comunque un’azione, aprire il file, provarne l’integrità oppure estrarne il contenuto. Non esiste un servizio di rete di 7-Zip in ascolto pronto a ricevere il payload e scattare senza che nessuno faccia nulla.
Il fatto che non ci sia ancora un exploit facile non è una scusa per tenersi una versione vulnerabile. Una volta chiarita la causa nel sorgente, sia i ricercatori sia i gruppi criminali possono mettersi a studiare tecniche più affidabili. Va notato che il codice malevolo girerebbe con gli stessi permessi del processo 7-Zip, dato che la falla non porta con sé un meccanismo per alzarsi i privilegi da sola. Se l’app gira come utente normale, anche il payload resta a quel livello. La faccenda si complica quando 7-Zip viene lanciato come amministratore, richiamato da un processo elevato o infilato dentro procedure con account dai poteri più ampi.
Non riguarda soltanto il programma sul desktop
Molti pensano a 7-Zip come a un programma che si installa a mano, ma il suo codice può finire dentro altre applicazioni. Software di backup, strumenti forensi, gestori di file, soluzioni per distribuire dati, appliance e prodotti commerciali possono incorporare la libreria 7z o pezzi del decoder XZ. Aggiornare 7-Zip sul PC non corregge in automatico una copia del codice annidata dentro un altro prodotto, quindi le aziende dovrebbero controllare sia le installazioni indipendenti sia i componenti integrati.
Attenzione anche ai server. Script di importazione, sistemi antimalware, gateway email e piattaforme di analisi possono estrarre da soli gli archivi che ricevono, e in uno scenario del genere l’interazione umana si riduce parecchio o sparisce del tutto, perché a passare il file al decoder è un processo automatico.