Abrir um arquivo XZ manipulado no 7-Zip pode permitir que um invasor execute código na máquina. A falha, registrada como CVE-2026-14266 (identificador global de vulnerabilidades), é um estouro de buffer baseado em heap (área de memória usada para alocação dinâmica) na forma como o arquivador processa dados XZ em blocos, e foi detalhada pela Iniciativa Dia Zero (ZDI), da Trend Micro, em 15 de julho. A correção foi disponibilizada em 25 de junho, no 7-Zip 26.02.
O estouro permite que um invasor "execute código no contexto do processo atual", segundo o comunicado. O código roda com o token (credencial de acesso) que o próprio 7-Zip possui e não ganha privilégios adicionais.
No Windows, um 7-Zip iniciado normalmente roda sob um token filtrado de usuário padrão mesmo em uma conta de administrador; assim, o invasor herda esses direitos limitados, a menos que o programa tenha sido aberto com elevação de privilégios. O bug foi reportado por Landon Peng, da Lunbun LLC, que o comunicou ao 7-Zip em 5 de junho.
A ZDI classifica a falha com nota 7,0, ou seja, alta, e não como crítica, como chegaram a apontar algumas matérias. O vetor CVSS 3.0 (Sistema Comum de Pontuação de Vulnerabilidades, versão 3.0) completo é AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H. O AV:L indica que se trata de um vetor de ataque local, e não remoto ou sem interação do usuário.
A expressão "execução remota de código" usada pela ZDI descreve um invasor remoto que entrega o arquivo, mas a vítima ainda precisa abri-lo, seja por e-mail, download ou uma página da web que o envie ao 7-Zip. A alta complexidade do ataque torna a exploração confiável ainda mais difícil. Até 20 de julho de 2026, o The Hacker News não encontrou nenhum código de prova de conceito público para o bug e nenhum relato confiável de exploração em ambiente real.
O The Hacker News comparou o código-fonte do decodificador XZ entre diferentes versões. A correção está concentrada em uma única função, a MixCoder_Code, no arquivo C/XzDec.c. Quando um fluxo XZ passa sua saída por um filtro, o decodificador recebia o tamanho total do buffer de saída a cada passagem, em vez do espaço restante após as escritas anteriores. Isso lhe dava mais espaço do que o buffer realmente comportava, a condição de escrita fora dos limites descrita pela ZDI.
A versão 26.02 subtrai os bytes já escritos e interrompe o processo se esse total acumulado ultrapassar o buffer. O mesmo tratamento incorreto de tamanho aparece inalterado no código-fonte do 7-Zip desde pelo menos a versão 21.07 (2021), embora nem a ZDI nem o 7-Zip tenham informado quais versões são de fato exploráveis.
A CVE-2026-14266 é a mais recente de uma série de falhas de segurança de memória nos manipuladores de arquivos do 7-Zip. Em 27 de abril, a versão 26.01 corrigiu um lote delas, incluindo a CVE-2026-48095, de pontuação mais alta, um estouro de escrita no heap do manipulador de NTFS (sistema de arquivos padrão do Windows) que o GitHub Security Lab detalhou em 22 de maio, com um código de prova de conceito funcional. Até o momento, a falha no XZ é a mais discreta das duas, e a 26.02 reúne todas essas correções, de modo que uma única atualização cobre o conjunto inteiro.
Portanto, atualize para o 7-Zip 26.02 ou posterior em todas as máquinas que abrem arquivos comprimidos vindos de fora. A atualização é uma instalação manual feita pelo site oficial, então máquinas configuradas para rodar sem intervenção não a receberão sozinhas. Qualquer produto que embarque uma cópia vulnerável do decodificador XZ do 7-Zip precisará de uma correção própria do fabricante.
A correção foi publicada 20 dias antes do comunicado, então quem atualizou no fim de junho já estava protegido antes que os detalhes se tornassem públicos. Dessa vez, atualizar coloca você à frente do problema, em vez de correndo atrás dele.
