7-Zip 漏洞 CVE-2026-14266 允许精心构造的 XZ 归档在打开时执行代码

在 Trend Micro 的 Zero Day Initiative 于 7 月 15 日公布细节后，The Hacker News 报道称，最新披露的 7-Zip 漏洞 CVE-2026-14266 允许当用户打开精心构造的 XZ 归档时执行代码。该漏洞为 XZ chunked data parser 中的 heap-based buffer overflow，攻击者可在解压过程中以 current process 上下文运行代码，带来 drive-by 或 supply chain 风险。7-Zip 广泛用于 Windows 及其他平台，迅速打补丁刻不容缓。

据 The Hacker News 称，修复已于 6 月 25 日在 7-Zip version 26.02 发布；建议用户尽快升级，并避免打开不受信任的 XZ 归档。ZDI 的通告称，该缺陷可通过打开恶意归档被触发，并对 7-Zip 解决该问题予以致谢。请关注厂商通告、proof-of-concept 发布，以及任何在野利用迹象。

[更新中。本文将持续补充。]