7-Zip の CVE-2026-14266：悪意のファイルのオープンによるヒープバッファ・オーバーフロー

7-Zip Vulnerability Lets Attackers Trigger Heap Buffer Overflow Using Malicious Files

2026/07/17 gbhackers — 7-Zip が公開したのは、新たな脆弱性 CVE-2026-14266 を悪用する攻撃者が、特別に細工した XZ 圧縮ファイルを開くようユーザーを騙して、任意のコード実行を引き起こす可能性である。この脆弱性は、7-Zip が XZ のチャンク化データを処理する際の、ヒープバッファ・オーバーフローに起因し、7-Zip バージョン 26.02 未満に影響する。この問題は、XZ 圧縮データの処理に存在する。XZ は一般的な圧縮形式であり、ソフトウェアパッケージ／バックアップ／配布アーカイブなどの圧縮コンテンツに対して使用されるものだ。

同社のアドバイザリによると、特別に細工された XZ チャンク化データにより、7-Zip がヒープに割り当てられたバッファの境界を越えて書き込む可能性がある。このメモリ破損状態を突く攻撃者が、アプリケーションの実行を制御し、7-Zip のカレント・プロセスのセキュリティ・コンテキスト内で、任意のコードを実行する可能性がある。

7-Zip の脆弱性

この脆弱性の悪用を成功させるには、ユーザー操作が必要である。そのため、攻撃の前提として、被害者による悪意のアーカイブのオープンもしくは、悪意の Web ページまたはダウンロードプロセスを通じた、攻撃者が制御するコンテンツへのアクセスが必要になる。

この要件により、自動化された悪用の可能性は低下する。しかし、標的型フィッシング／マルウェア配信／ソーシャルエンジニアリングなどの攻撃において、深刻なリスクが生じる。具体的には、正規のアーカイブ／ソフトウェア更新／文書バンドル／共有バックアップ・ファイルに偽装した悪意のファイルを、被害者の 7-Zip で処理させることになる。つまり、認証や既存の権限は不要であり、被害者が単にファイルを開くだけで、標的デバイスが危険にさらされる。

この脆弱性には CVSS スコア 7.0 が割り当てられており、ベクターは AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H である。このスコアは、ローカル攻撃ベクター要件とユーザー操作の必要性を反映している。その一方で、悪用に成功した攻撃者が、機密性／完全性／可用性に対して大きな影響を及ぼす可能性がある。

ヒープバッファ・オーバーフローは、動的に割り当てられたメモリを破損させ、プログラム実行をリダイレクトする可能性があるため、特に危険である。

標的環境と悪用条件に応じて、この欠陥を悪用する攻撃者は、マルウェアの起動／カレント・ユーザーのデータの窃取／ファイルの変更などを介して、影響を受けるシステムを不安定化させる可能性がある。

このアドバイザリは、実環境における CVE-2026-14266 のアクティブな悪用を示していない。しかし、公開された技術的詳細により、エクスプロイトが開発される可能性が高まる。

この脆弱性は、Lunbun LLC の研究者 Landon Peng により、2026年6月5日の時点で 7-Zip に報告された。協調的な開示を経て、ZDI が 2026年7月15日にアドバイザリ ZDI-26-444 (ZDI-CAN-30169) を公開した。この問題は 7-Zip バージョン 26.02 で対処されている。

ユーザー組織に強く推奨されるのは、可能な限り速やかに 7-Zip バージョン 26.02 以降へ更新することである。セキュリティ・チームは、メール／メッセージング・プラットフォーム／ファイル共有サービス／信頼できない Web サイトを通じて配信される、不審な XZ アーカイブも監視すべきである。

アップデートが展開されるまでの間、ユーザーは予期しない圧縮ファイルを開くことを避け、アーカイブの内容を展開／プレビューする前に、入手元を検証すべきである。

多くの環境で日常的に使われるファイル展開ツールは、バックアップや配布ファイルの解凍などで利用される機会が多いため、攻撃を仕掛けられやすい傾向にあります。7-Zip の古いバージョンにおいて発見された脆弱性 CVE-2026-14266 は、特別に細工された XZ 形式のファイルの読み込みにより、メモリ領域の破壊を引き起こすものです。細工されたアーカイブを普段通り展開するだけで、不正なプログラムを実行されたりシステムを制御されたりする恐れがあります。こうした被害を防ぐために、稼働している環境のバージョンを確認し、対策が施された 7-Zip バージョン 26.02 以降へ速やかにアップデートを進める必要があります。