7-Zip 修補 XZ 壓縮處理堆積緩衝區溢位漏洞 CVE-2026-14266，建議手動更新至 26.02 版

7-Zip 於 6 月 25 日發布 26.02 版，修補一項影響 XZ 壓縮資料處理的堆積型緩衝區溢位（heap-based buffer overflow）漏洞 CVE-2026-14266。趨勢科技旗下的 Zero Day Initiative（ZDI）於 7 月 15 日公開此漏洞的技術細節；目前尚無概念驗證程式碼（PoC）公開，也未有可信的野外利用報告。

漏洞原理

此漏洞存在於 7-Zip 的 XZ 串流解碼器 MixCoder_Code 函式（位於 C/XzDec.c）。當 XZ 串流經由過濾器處理並輸出時，解碼器在每次傳遞時取得的是「完整的輸出緩衝區長度」，而非「扣除先前已寫入資料後的剩餘可用空間」。因此，解碼器會高估可寫入的容量，進而產生越界寫入（out-of-bounds write）的條件。

26.02 版的修補方式，是在每次寫入時扣除已寫入的位元組數，並在累計寫入量超過緩衝區容量時中止操作。相關程式碼至少自 2021 年的 7-Zip 21.07 版起即存在，但 ZDI 與 7-Zip 均未說明哪些版本實際可被利用。

嚴重性評估

ZDI 將此漏洞評為 CVSS 7.0（高危），而非部分報導所稱的重大（Critical）。其 CVSS 3.0 向量為 AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H。其中，本機攻擊向量（AV:L）表示攻擊者必須透過社交工程或釣魚等方式，誘使受害者開啟惡意壓縮檔，無法直接透過網路遠端觸發；而高攻擊複雜度（AC:H）也降低了可靠利用的可行性。即使成功利用，惡意程式碼也只會在 7-Zip 的既有權限下執行，並不會自動取得額外的系統權限。

更新方式與注意事項

由於 7-Zip 不具備自動更新功能，用戶需前往官方網站（7-zip.org）手動下載並安裝 26.02 版；長期未更新的裝置也不會自動收到修補。凡內嵌 7-Zip XZ 解碼器的第三方產品，亦需依各廠商提供的修補更新進行升級。

此次修補程式比漏洞技術細節公開早 20 天發布，因此於 6 月下旬完成更新的用戶，已在細節公開前獲得保護。

歷史背景

CVE-2026-14266 延續了 7-Zip 壓縮格式處理器長期反覆出現的記憶體安全問題。7-Zip 於同年 4 月 27 日發布的 26.01 版，曾修補一批類似缺陷，其中包含評分更高的 CVE-2026-48095（NTFS 處理器堆積寫入溢位漏洞；GitHub Security Lab 於 5 月 22 日發布附帶可運作 PoC 的詳細分析）。26.02 版已整合上述修補，一次更新即可涵蓋全部問題。

此外，7-Zip 漏洞過去也曾出現實際利用案例。2025 年初，一項可讓惡意軟體繞過 Windows「網頁標記」（Mark of the Web，MotW）安全機制的 7-Zip 漏洞，曾遭俄羅斯駭客以零日方式利用。

本文轉載自 TheHackerNews、BleepingComputer。