La vulnerabilita CVE 2026 14266 ha colpito 7 Zip, uno degli strumenti piu usati per comprimere ed estrarre archivi su Windows e non solo. Il problema riguarda la decompressione XZ e consiste in un heap based buffer overflow che, in presenza di un archivio XZ creato ad arte, puo portare a esecuzione di codice arbitrario nel momento stesso in cui la vittima estrae i file.
In termini pratici, basta un doppio click su un allegato o su un download apparentemente innocuo per innescare un attacco che si esegue con i privilegi dell utente.
Il bug risiede nel decoder XZ di 7 Zip, in una logica di gestione dei blocchi di output. Durante le varie passate di scrittura, al decoder veniva passato come spazio disponibile l intera lunghezza del buffer di output invece dello spazio realmente rimanente dopo le scritture precedenti. Questo errore di calcolo permette a dati malevoli di oltrepassare i limiti del buffer allocato nello heap, corrompendo memoria e aprendo la strada a exploit affidabili, tipici dei parser scritti in C quando non vengono controllati correttamente i limiti.
La falla e stata corretta in 7 Zip 26.02. La patch introduce un tracciamento dei byte gia scritti e impedisce che la somma totale superi la dimensione reale del buffer. Sono risultate vulnerabili le versioni a partire da 7 Zip 21.07 del 2021 fino alla 26.01, un arco temporale lungo in cui la vulnerabilita e rimasta silente. Anche se non risultano prove pubbliche di sfruttamento in the wild o proof of concept diffusi, il rischio resta concreto perche gli archivi sono un vettore comune per phishing e malware delivery.
Un elemento critico e la gestione degli aggiornamenti: 7 Zip non integra un auto update, quindi molte installazioni rimangono indietro finche utenti o reparti IT non intervengono manualmente. In ambito aziendale conviene distribuire 7 Zip 26.02 o superiore tramite strumenti di patch management e considerare come sospetti allegati XZ, 7z e archivi annidati. Inoltre e utile verificare se 7 Zip e incorporato in altri software come backup tool o installer, perche le copie embedded potrebbero non aggiornarsi insieme all app principale.