Abrir un archivo XZ diseñado en 7-Zip podría permitir que un atacante ejecute código en la máquina. el defecto, CVE-2026-14266es un desbordamiento de búfer basado en montón en la forma en que el archivador procesa los datos fragmentados de XZ, y la Iniciativa de Día Cero (ZDI) de Trend Micro lo detalló el 15 de julio. Se envió una solución el 25 de junio en 7-Zip 26.02.
El desbordamiento permite a un atacante “ejecutar código en el contexto del proceso actual”, según el aviso. El código se ejecuta con el token que posee 7-Zip y no obtiene privilegios propios.
En Windows, un 7-Zip que se inicia normalmente se ejecuta con un token de usuario estándar filtrado incluso en una cuenta de administrador, por lo que el atacante hereda esos derechos limitados a menos que el programa se haya iniciado de forma elevada. El error provino de Landon Peng de Lunbun LLC, quien lo informó a 7-Zip el 5 de junio.
ZDI califica la falla como 7.0, o Alta, no como Crítica, alcanzada en varios artículos. El vector CVSS 3.0 completo es AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H. El AV:L lo convierte en un vector de ataque local, no accesible a la red o sin clic.
La “ejecución remota de código” de ZDI describe a un atacante remoto entregando el archivo, que la víctima aún tiene que abrir, ya sea que llegue por correo electrónico, una descarga o una página web que lo entregue a 7-Zip. La alta complejidad del ataque hace que una explotación fiable sea aún más difícil. Hasta el 20 de julio de 2026, The Hacker News no encontró ninguna prueba pública de concepto para el error ni ningún informe creíble de explotación en la naturaleza.
The Hacker News comparó la fuente del decodificador XZ en todas las versiones. La solución aterriza en una función, MixCoder_Code en C/XzDec.c. Cuando una secuencia XZ ejecuta su salida a través de un filtro, el decodificador recibió la longitud completa del búfer de salida en cada pasada en lugar del espacio dejado después de las escrituras anteriores. Eso le dio más espacio para trabajar que el búfer que contenía, la condición de escritura fuera de límites que describe ZDI.
La versión 26.02 resta los bytes ya escritos y los rescata si ese total acumulado alguna vez excede el búfer. El mismo manejo de longitud defectuoso parece sin cambios en la fuente de 7-Zip hasta al menos la versión 21.07 (2021), aunque ni ZDI ni 7-Zip han dicho qué versiones son realmente explotables.
CVE-2026-14266 es el último de una serie de errores de seguridad de la memoria en los controladores de archivos de 7-Zip. El 27 de abril, la versión 26.01 solucionó un lote de ellos, incluido el CVE-2026-48095 de mayor puntuación, un desbordamiento de escritura en montón del controlador NTFS que GitHub Security Lab detalló el 22 de mayo con una prueba de concepto funcional. La falla XZ es la más silenciosa de las dos hasta ahora, y 26.02 incluye cada una de estas correcciones, por lo que una actualización las cubre todas.
Por lo tanto, actualice a 7-Zip 26.02 o posterior en cada máquina que abra archivos desde el exterior. La actualización es una instalación manual desde el sitio oficial, por lo que las máquinas de configurar y olvidar no la detectarán por sí solas. Cualquier producto que envíe una copia vulnerable del decodificador XZ de 7-Zip necesita la solución de su propio proveedor.
El parche salió 20 días antes del aviso, por lo que cualquiera que lo actualizara a finales de junio quedó cubierto antes de que los detalles fueran públicos. Por una vez, la actualización le permite adelantarse al problema en lugar de perseguirlo.
