7-zip漏洞使数百万用户面临远程代码执行风险

7-Zip 中新披露的一个漏洞，作为最广泛使用的开源文件归档工具之一，可能允许远程攻击者在受影响的系统上执行任意代码。该缺陷编号为CVE-2026-14266，源于XZ分块数据的不当处理，并在最新的软件更新中得到修正。
漏洞在于7-Zip处理XZ压缩数据流的方式。具体来说，专门设计的XZ分块数据可能触发基于堆的缓冲区溢出，这是一种当写入缓冲区的数据超过其分配空间时发生的内存损坏问题。
攻击者可以利用该溢出在当前进程的上下文中执行恶意代码，从而获得与登录用户相同的权限。

利用需要用户参与，这意味着攻击者无法在没有受害者采取某种行动的情况下远程攻破系统。要触发该漏洞，目标必须满足以下条件之一：
打开一个恶意制作的档案文件，或者
访问一个恶意网页，专门用来传递精心设计的XZ载荷
http://t.cn/AXKu0siA
一旦受害者打开文件或触发相关操作，变形的XZ数据会导致7-Zip溢出堆缓冲区，使攻击者的代码能够在后台静默执行。
7-Zip 被全球数百万个人、企业和 IT 管理员用于压缩和解压文件，尽管用户需要交互，但这一漏洞依然具有重要性。
攻击者常依赖社交工程手段，如带有恶意附件的钓鱼邮件，以诱使用户打开被攻破的档案文件，这使得这成为恶意软件传播、勒索软件部署或更广泛攻击链中初始访问的武器化漏洞。
由于 7-Zip 默认处理压缩文件且不进行深度内容检查，用户可能在不知情的情况下解压或打开恶意的 XZ 归档，误以为其是合法的。