La faille 7-Zip CVE-2026-14266 permet à des archives XZ forgées d’exécuter du code à l’ouverture

Une vulnérabilité 7-Zip récemment divulguée, CVE-2026-14266, permet l’exécution de code lorsque des utilisateurs ouvrent des archives XZ forgées, rapporte The Hacker News, après que la Zero Day Initiative de Trend Micro l’a détaillée le 15 juillet. Le heap-based buffer overflow dans le XZ chunked data parser pourrait permettre à des attaquants d’exécuter du code dans le contexte du processus en cours pendant l’extraction, ce qui accroît les risques de drive-by ou de supply chain. 7-Zip est largement utilisé sur Windows et d’autres plateformes, rendant urgente l’application rapide du correctif.

Un correctif a été livré le 25 juin dans 7-Zip version 26.02; les utilisateurs doivent mettre à niveau et éviter d’ouvrir des archives XZ non fiables, selon The Hacker News. L’avis de ZDI indique que la faille peut être déclenchée en ouvrant une archive malveillante et crédite 7-Zip pour avoir corrigé le problème. Surveillez les avis des fournisseurs, les publications de proof-of-concept et tout signe d’exploitation in the wild. [En développement. Cet article sera mis à jour.]