7-Zip: Präparierte XZ-Archive schleusen Schadcode ein — Version 26.02 hilft

Ein Fehler im XZ-Decoder von 7-Zip lässt sich zum Einschleusen von Schadcode missbrauchen. Die als CVE-2026-14266 geführte Lücke — ein Heap-Pufferüberlauf mit CVSS-Wert 7,0 — steckt in allen Versionen von 21.07 aus dem Jahr 2021 bis einschließlich 26.01. Version 26.02 behebt das Problem und ist schon seit Ende Juni verfügbar; die Details hat die Zero Day Initiative Mitte Juli veröffentlicht. Gemeldet hatte die Schwachstelle der Sicherheitsforscher Landon Peng.

Für einen Angriff genügt es, wenn das Opfer ein präpariertes Archiv entpackt. Beim Verarbeiten mehrstufiger XZ-Streams rechnet der Decoder mit falschen Puffergrößen und schreibt über Speichergrenzen hinaus — im schlimmsten Fall läuft dann fremder Code mit den Rechten des Nutzers. Angriffe in freier Wildbahn sind bislang nicht bekannt, mit öffentlich dokumentierter Lücke dürfte sich das Zeitfenster aber schließen.

Wichtig zu wissen: 7-Zip aktualisiert sich nicht selbst. Wer das Tool nutzt, muss die neue Version von Hand installieren — das gilt auch für Server und NAS-Systeme, auf denen 7-Zip in Skripten mitläuft.