7-Zip: la patch esisteva già, ma nessuno la installa senza…

CVE-2026-14266 colpisce il decompressore XZ di 7-Zip da cinque anni. La correzione è uscita il 25 giugno, ma senza aggiornamento automatico la maggior parte degli

Il 25 giugno 2026 Igor Pavlov ha rilasciato 7-Zip 26.02 con una modifica silenziosa nel file C/XzDec.c: sottrae i byte già scritti dal calcolo dello spazio residuo nel buffer di output del filtro XZ. Venti giorni dopo, il 15 luglio, la Zero Day Initiative ha pubblicato l'advisory ZDI-26-444 rivelando che quella correzione chiudeva CVE-2026-14266, un heap-based buffer overflow con cui un archivio XZ confezionato ad arte esegue codice arbitrario alla semplice apertura. Il paradosso è che chi ha aggiornato per abitudine o per policy aziendale è stato protetto prima ancora di conoscere la minaccia; chi ha lasciato l'utility nel suo stato di default, ovvero quasi tutti, rimane vulnerabile a tempo indeterminato.

Punti chiave

CVE-2026-14266 è un heap overflow nel decompressore XZ di 7-Zip, funzione MixCoder_Code, con CVSS 7.0 (High) secondo ZDI.
La correzione è distribuita dalla versione 26.02 del 25 giugno 2026; la divulgazione coordinata è avvenuta il 15 luglio 2026.
7-Zip non dispone di meccanismo di aggiornamento automatico: l'installazione manuale dal sito ufficiale è l'unica via.
Lo stesso errore di calcolo della lunghezza del buffer risulta presente nel codice sorgente almeno dalla versione 21.07 del 2021, secondo analisi di The Hacker News.

Il meccanismo: perché il filtro XZ perdeva il conto dei byte

Il decompressione XZ processa i dati attraverso una catena di filtri: ogni passaggio scrive nel buffer di output e il decoder successivo dovrebbe ricevere solo lo spazio rimanente. Secondo l'analisi indipendente effettuata da The Hacker News sul codice sorgente, MixCoder_Code veniva invece "handed the full output-buffer length on each pass instead of the space left after earlier writes".

La conseguenza è matematica: se un flusso XZ segmentato in chunk malevoli superava cumulativemente la dimensione allocata, i byte in eccesso finivano oltre l'heap buffer. ZDI-26-444 descrive esplicitamente che "crafted XZ-compressed data can trigger an overflow of a heap-based buffer". Il risultato operativo, sempre secondo l'advisory ZDI citato da The Hacker News: "execute code in the context of the current process".

La correzione in 26.02, verificata sulle differenze di codice da The Hacker News, implementa due controlli: sottrazione progressiva dei byte già scritti e interruzione forzata se il totale corrente eccede il buffer. "Version 26.02 subtracts the bytes already written and bails out if that running total ever exceeds the buffer", riporta la testata.

"This vulnerability allows remote attackers to execute arbitrary code on affected installations of 7-Zip. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file." — ZDI-26-444 advisory

Il vettore d'attacco: non zero-click, ma nemmeno difficile

Il CVSS 3.0 assegnato da ZDI è 7.0 con vettore AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H. Local attack vector, alta complessità, richiesto interazione utente. La combinazione esclude la propagazione automatica ma non la pericolosità: l'utente deve solo aprire l'archivio, operazione che avviene decine di volte al giorno in ambienti aziendali.

La Hacker News precisa che su Windows 7-Zip gira normalmente sotto token utente standard con filtri applicati, il che limita l'escalation locale senza un passaggio aggiuntivo. Tuttavia, l'esecuzione di codice nel contesto del processo corrente apre già superficie sufficiente per il caricamento di infostealer, l'accesso ai dati utente, o l'ancoraggio iniziale per catene più complesse.

Non emergono sovrapposizioni infrastrutturali che colleghino CVE-2026-14266 a campagne note allo stato attuale. The Hacker News "found no public proof-of-concept for the bug and no credible report of exploitation in the wild"; LatestHackingNews conferma che "no public proof-of-concept exploit is circulating". L'assenza di evidenza non equivale a prova di assenza, specialmente considerando la finestra di esposizione potenziale di circa cinque anni.

Il contesto: una cattedrale senza manutenzione programmata

7-Zip è distribuito con licenza LGPL, gratuito, senza telemetry, senza account cloud, senza aggiornamenti silenziosi. Questo modello è vantaggio per la privacy e debolezza per la postura di sicurezza. La versione 26.02 è disponibile dal 25 giugno; BleepingComputer ha sottolineato già il 18 luglio che "7-Zip has no automatic update feature; users must manually install from official site".

Il profilo di installazione tipico amplifica il problema: utenti domestici che hanno scaricato l'utility anni fa, ambienti enterprise con immagini standard non rieditate, software di backup o utility di installazione che incorporano librerie 7-Zip staticamente linkate. Il dossier non specifica quali prodotti terzi integrino il decompressore XZ di 7-Zip né se questi abbiano ricevato aggiornamenti indipendenti.

La stessa versione 26.02 ha corretto anche altre vulnerabilità di memory safety. Il 27 aprile 2026 era uscita la 26.01 con fix per CVE-2026-48095 (GHSL-2026-140, heap overflow nel gestore NTFS con CVSS 8.8 secondo GitHub Security Lab) e per il cluster GHSL-2026-115/122 con flaw in SquashFS, UDF, UEFI, WIM e altri formati. Il pattern suggerisce debito tecnico strutturale nel parsing dei formati compressi, ma le advisory GHSL descrivono vulnerabilità distinte da CVE-2026-14266 e non vanno conflate.

Cosa fare adesso

Verificare la versione installata di 7-Zip tramite Help → About; ogni release precedente alla 26.02 è potenzialmente vulnerabile almeno per il pattern di codice confermato dal 2021.
Distribuire la 26.02 attraverso gli strumenti di deployment aziendale (GPO, SCCM, Intune, script di provisioning) piuttosto che attendere l'intervento manuale dell'utente.
Inventariare le installazioni embedded di 7-Zip in prodotti terzi: utility di backup, installer, strumenti di system management che potrebbero caricare librerie di decompressione XZ autonome.
Monitorare i tentativi di apertura di archivi XZ provenienti da origini esterne, in attesa che eventuali indicatori di compromesso emergano dalla ricerca o dalle segnalazioni.

La lezione del pre-patched: quando la disclosure segue il fix

Il caso 7-Zip inverte la cronologia attesa: il vendor ha corretto prima che la minaccia diventasse pubblica, ma l'assenza di canale di distribuzione automatico ha trasformato un vantaggio temporale in esposizione persistente. Chi gestisce ambienti eterogenei sa che le utility "installate e dimenticate" costituiscono spesso la superficie d'attacco meno monitorata.

Non è un difetto di progettazione del singolo software ma un attrito sistemico tra etica del rilascio responsabile e infrastruttura di aggiornamento. Pavlov ha corretto entro venti giorni dalla segnalazione di Landon Peng datata 5 giugno; la ZDI ha mantenuto la coordinazione fino al 15 luglio. La catena umana ha funzionato. Quella tecnologica no.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti