Falha no 7-Zip CVE-2026-14266 permite que arquivos XZ manipulados executem código ao abrir

Uma vulnerabilidade recém-divulgada no 7-Zip, CVE-2026-14266, permite execução de código quando usuários abrem arquivos XZ manipulados, relata The Hacker News, após a Trend Micro’s Zero Day Initiative detalhá-la em 15 de julho. O heap-based buffer overflow no XZ chunked data parser pode permitir que invasores executem código no contexto do processo atual durante a extração, elevando riscos de drive-by ou de supply chain. 7-Zip é amplamente usado no Windows e em outras plataformas, tornando urgente a aplicação rápida do patch.

Uma correção foi lançada em 25 de junho no 7-Zip versão 26.02; usuários devem atualizar e evitar abrir arquivos XZ não confiáveis, segundo The Hacker News. O advisory da ZDI afirma que a falha pode ser acionada ao abrir um arquivo malicioso e credita o 7-Zip por abordar o problema. Fique atento a vendor advisories, lançamentos de proof-of-concept e a quaisquer sinais de exploração ativa. [Em desenvolvimento. Este artigo será atualizado.]