Voor een kwetsbaarheid in de populaire archiveringssoftware 7-Zip is exploitcode online verschenen, zo meldt het Computer Security Incident Response Team van de Italiaanse overheid (CSIRT Italia) vandaag. Via het beveiligingslek is remote code execution mogelijk. Kwetsbaarheden in 7-Zip zijn in het verleden misbruikt bij aanvallen. Nu exploitcode online is verschenen neemt de kans op misbruik toe. Gebruikers worden dan ook opgeroepen de beschikbare update, die het probleem verhelpt, te installeren.

Het probleem (CVE-2026-14266) doet zich voor wanneer 7-Zip speciaal geprepareerde gecomprimeerde XZ-data verwerkt. Hierdoor kan er een heap-based buffer overflow ontstaan, wat het uitvoeren van code op het systeem van de gebruiker mogelijk maakt. Om misbruik van het beveiligingslek te maken volstaat het openen van een malafide archiefbestand met een kwetsbare versie of het bezoeken van een malafide pagina, aldus cybersecuritybedrijf ZDI dat het probleem aan de ontwikkelaar rapporteerde.

De kwetsbaarheid is verholpen in 7-Zip versie 26.02, die op 25 juni verscheen. Het bestaan van het beveiligingslek werd pas op 15 juli bekendgemaakt. De Cyber Incident Response Institution van Letland benadrukt dat gebruikers de update handmatig moeten installeren, aangezien 7-Zip geen automatische updatefunctie kent.