أعلنت مبادرة Trend Micro ZDI عن ثغرة أمنية في برنامج 7-Zip تحمل الرمز CVE-2026-14266، يمكن أن تسمح للمهاجم بتنفيذ أوامر عند فتح أرشيفات XZ مصممة خصيصًا. الثغرة عبارة عن Heap Buffer Overflow في طريقة معالجة البيانات المجزأة داخل ملفات XZ. تم إصلاحها في الإصدار 7-Zip 26.02 بتاريخ 25 يونيو 2026.
وفقًا للتحذير، يمكن للمهاجم تشغيل التعليمات البرمجية في سياق العملية الحالية، أي بنفس صلاحيات البرنامج، دون الحصول على امتيازات إضافية. على أنظمة Windows، يعمل 7-Zip عادةً تحت صلاحيات مستخدم قياسي حتى لو كان الحساب إداريًا، إلا إذا تم تشغيله بصلاحيات مرتفعة.
خطورة الاستغلال
- ZDI صنفت الثغرة بدرجة 7.0 (High)، وليست “حرجة” كما وصفها البعض.
- الهجوم يتطلب أن يقوم المستخدم بفتح الملف يدويًا، ما يجعله هجومًا محليًا وليس عن بُعد بالكامل.
- التعقيد العالي للهجوم يجعل الاستغلال الموثوق أكثر صعوبة.
- حتى 20 يوليو 2026، لم يتم رصد أي استغلال فعلي أو نشر كود إثبات المفهوم علنًا.
أصل المشكلة التقنية
الخلل كان في وظيفة MixCoder_Code داخل الملف C/XzDec.c، حيث كان المفسر يمنح الفلتر طول المخزن المؤقت الكامل في كل تمريرة بدلًا من المساحة المتبقية بعد الكتابة السابقة، ما يؤدي إلى تجاوز حدود الذاكرة. الإصدار الجديد يقوم بطرح البايتات المكتوبة مسبقًا ويتوقف إذا تجاوز المجموع سعة المخزن.
الإصدارات المتأثرة
- جميع الإصدارات منذ 7-Zip 21.07 (2021) وحتى 26.01 معرضة للثغرة.
- الإصدار 26.02 يتضمن إصلاحًا لهذه الثغرة بالإضافة إلى ثغرات أخرى مثل CVE-2026-48095 المرتبطة بمعالج NTFS.
التوصيات الأمنية
- التحديث الفوري إلى 7-Zip 26.02 أو أحدث على جميع الأجهزة التي تتعامل مع أرشيفات خارجية.
- التحديث يتم يدويًا من الموقع الرسمي لـ 7-Zip، ولا يتم عبر تحديث تلقائي.
- أي منتج يستخدم مكتبة 7-Zip لمعالجة ملفات XZ يحتاج إلى تحديث خاص من مزوده.
