A versão 26.02 do 7-Zip foi lançada em 25 de junho para corrigir uma vulnerabilidade de execução remota de código que poderia permitir a invasores executar código malicioso ao convencer usuários a abrir arquivos compactados especialmente preparados.
A falha, identificada como CVE-2026-14266, foi descoberta por Landon Peng, da Lunbun LLC, que a reportou ao 7-Zip em 5 de junho. Ela afeta o processamento de dados fragmentados de XZ pelo compactador e foi detalhada pela Zero Day Initiative (ZDI), da Trend Micro, em 15 de julho.
Segundo o alerta, arquivos XZ construídos de forma maliciosa podem acionar um estouro de buffer baseado em heap. O estouro permite que o atacante execute código no contexto do processo atual, o que significa que o código roda com o token que o próprio 7-Zip possui e não recebe privilégios adicionais por conta própria. No Windows, um 7-Zip executado normalmente roda com um token padrão de usuário filtrado, mesmo em contas de administrador, de modo que o invasor herda apenas esses direitos limitados, a menos que o programa tenha sido iniciado com privilégios elevados.
Embora o desenvolvedor não tenha publicado detalhes técnicos sobre a falha, as mudanças no código-fonte da versão 26.02 indicam que o problema está na forma como o 7-Zip controla o espaço disponível durante a descompactação de dados XZ. O patch adiciona verificações para garantir que o decodificador não escreva além do espaço restante em um buffer de saída, evitando um estouro de buffer baseado em heap.
A ZDI atribui à falha nota 7,0 no CVSS 3.0, classificada como alta, e não crítica, como algumas publicações chegaram a indicar. A vetorização completa é AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H. O AV:L indica um vetor de ataque local, e não um ataque alcançável pela rede ou sem clique. Na prática, quando a ZDI fala em “execução remota de código”, o cenário pressupõe que um atacante remoto envie o arquivo, mas a vítima ainda precisa abri-lo, seja por e-mail, download ou por uma página web que o entregue ao 7-Zip. A alta complexidade do ataque também dificulta a exploração confiável.
A análise do código-fonte do decodificador XZ entre versões mostrou que a correção está em uma única função, MixCoder_Code, em C/XzDec.c. Quando um fluxo XZ passava sua saída por um filtro, o decodificador recebia o tamanho total do buffer de saída em cada passagem, em vez do espaço restante após gravações anteriores. Isso lhe dava mais espaço do que o buffer realmente tinha, criando a condição de escrita fora dos limites descrita pela ZDI. A versão 26.02 passou a subtrair os bytes já gravados e interrompe a execução se esse total acumulado ultrapassar o buffer.
O mesmo tratamento incorreto de tamanho aparece sem mudanças no código-fonte do 7-Zip desde, no mínimo, a versão 21.07, de 2021, embora nem a ZDI nem o próprio 7-Zip tenham informado quais versões são de fato exploráveis. Até 20 de julho de 2026, não havia prova de conceito pública para a falha nem relatos confiáveis de exploração em ambiente real.
Como o 7-Zip não possui um recurso de atualização automática, os usuários não recebem a correção de segurança automaticamente. Em vez disso, precisam instalá-la manualmente, baixando a versão mais recente no site oficial do programa, o 7-zip.org. A atualização é manual, então máquinas configuradas para “instalar e esquecer” não receberão o patch sozinhas.
Como o 7-Zip é uma das ferramentas de compactação mais usadas no Windows, falhas que afetam seus recursos de arquivamento se tornam um alvo atraente para threat actors. Uma campanha de phishing ou um ataque de engenharia social pode ser usado para distribuir um arquivo compactado malicioso que explore a falha e instale malware em sistemas vulneráveis. Isso não é improvável, já que vulnerabilidades em arquivos compactados, inclusive no 7-Zip, já foram exploradas em ataques anteriores.
No início de 2025, uma vulnerabilidade do 7-Zip que permitia a malware contornar o recurso de segurança Mark of the Web, do Windows, foi explorada por hackers russos como um zero-day. Mais tarde, no mesmo ano, um grupo de hackers russo explorou uma vulnerabilidade do WinRAR, rastreada como
CVE-2025-8088
, em ataques de phishing para instalar o malware RomCom.
A CVE-2026-14266 é a mais recente de uma sequência de falhas de segurança de memória nos manipuladores de arquivos do 7-Zip. Em 27 de abril, a versão 26.01 corrigiu um conjunto delas, incluindo a CVE-2026-48095, uma escrita fora dos limites no heap no manipulador NTFS, com nota mais alta, que o GitHub Security Lab detalhou em 22 de maio com uma prova de conceito funcional. A falha no XZ é a menos barulhenta das duas até agora, e a 26.02 reúne todas essas correções em uma única atualização.
Por isso, a orientação é atualizar para o 7-Zip 26.02 ou posterior em todas as máquinas que abrem arquivos vindos de fora. Qualquer produto que incorpore uma cópia vulnerável do decodificador XZ do 7-Zip também precisará de sua própria correção do fornecedor. O patch foi disponibilizado 20 dias antes do comunicado oficial, então quem atualizou no fim de junho já estava protegido antes de os detalhes se tornarem públicos.
Até o momento, não há relatos de que invasores estejam explorando ativamente essa vulnerabilidade. Ainda assim, a recomendação é atualizar o quanto antes para reduzir o risco de ataques futuros.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...