In der weitverbreiteten Archivierungssoftware 7-Zip klafft eine Sicherheitslücke, die Angreifern das Ausführen von Schadcode ermöglichen kann. Betroffen ist die Verarbeitung von XZ-komprimierten Daten, einem gängigen Kompressionsformat für Software-Pakete und Backups. Die Zero Day Initiative (ZDI) von Trend Micro veröffentlichte die Details am 15. Juli 2026 unter der Kennung ZDI-26-444.

Die Schwachstelle trägt die Bezeichnung CVE-2026-14266 und wird mit einem CVSS-Wert von 7,0 als hoch eingestuft. Damit fällt sie nicht ganz in die höchste Risikokategorie, wie einige Berichte zunächst vermuten ließen.

Technischer Hintergrund der Schwachstelle

Der Fehler liegt konkret in der Art, wie 7-Zip sogenannte XZ-Chunk-Daten verarbeitet. Speziell präparierte XZ-komprimierte Daten können dabei einen Heap-basierten Pufferüberlauf auslösen. Ein solcher Speicherfehler entsteht, wenn ein Programm mehr Daten in einen reservierten Speicherbereich schreibt, als dieser eigentlich fassen kann.

Gelingt einem Angreifer die Ausnutzung, lässt sich Code im Sicherheitskontext des laufenden 7-Zip-Prozesses ausführen. Der Schadcode erbt somit dieselben Rechte, die auch der jeweilige Nutzer besitzt – auf einem Windows-System mit eingeschränktem Standardkonto bleibt der Spielraum entsprechend begrenzt, solange 7-Zip nicht mit erhöhten Rechten gestartet wurde.

Eine Besonderheit der Lücke: Ein Angriff erfordert stets eine Interaktion des Opfers. Betroffene müssen entweder eine manipulierte Datei öffnen oder eine bösartige Webseite besuchen, die den präparierten XZ-Inhalt ausliefert. Automatisierte, klicklose Angriffe über das Netzwerk sind damit ausgeschlossen, was das Risiko einer breiten, unbemerkten Ausnutzung im Vergleich zu anderen Schwachstellenklassen mindert.

Meldung und Offenlegung

Gemeldet wurde die Schwachstelle am 5. Juni 2026 von Sicherheitsforscher Landon Peng vom Unternehmen Lunbun LLC im Rahmen eines koordinierten Offenlegungsprozesses. Zwischen Meldung und öffentlicher Bekanntgabe lag damit gut ein Monat Zeit für die Entwicklung eines Patches.

Der eigentliche Fix erschien bereits am 25. Juni 2026 mit Version 26.02 von 7-Zip – rund drei Wochen vor der öffentlichen Advisory. Wer sein Programm in diesem Zeitraum aktualisiert hat, war demnach schon vor Bekanntwerden der technischen Details geschützt.

Update dringend empfohlen

Nutzer und Organisationen sollten möglichst zeitnah auf 7-Zip 26.02 oder neuer wechseln. Da die Software unter Windows in der Regel manuell aktualisiert werden muss, bleiben viele Installationen ohne eigenes Zutun dauerhaft verwundbar.

Hinweise auf eine aktive Ausnutzung der Lücke in freier Wildbahn liegen bislang nicht vor. Angesichts der nun öffentlich verfügbaren technischen Details raten Sicherheitsexperten dennoch zur Vorsicht beim Öffnen von Archivdateien aus unbekannten Quellen, etwa aus E-Mail-Anhängen oder Download-Links.