Bezplatný archivační program 7-Zip používají lidé i firmy k otevírání souborů ve formátech ZIP, RAR, 7z nebo XZ. Právě zpracování dat komprimovaných ve formátu XZ však obsahovalo bezpečnostní chybu, kterou může útočník zneužít ke spuštění vlastního kódu v napadeném počítači.

Zranitelnost dostala označení CVE-2026-14266 a bezpečnostní organizace Zero Day Initiative jí přidělila hodnocení 7,0 z deseti. Chybu objevil výzkumník Landon Peng ze společnosti Lunbun LLC, který ji 5. června 2026 oznámil vývojáři programu. Veřejně byla zveřejněna až 15. července, tedy poté, co už existovala opravená verze.

Stačí otevřít připravený soubor

Problém se nachází ve způsobu, jakým 7-Zip zpracovává části komprimovaných dat XZ. Speciálně vytvořený soubor může vyvolat přetečení vyrovnávací paměti na haldě. Program následně zapisuje data mimo prostor, který pro ně byl vyhrazen.

Taková chyba nemusí skončit pouze pádem aplikace. Podle Zero Day Initiative ji lze využít ke spuštění libovolného kódu s oprávněními přihlášeného uživatele. Útočník by tak mohl do počítače dostat malware, získat přístup k datům nebo provést další kroky podle toho, jaká oprávnění má napadený účet.

Útok ovšem neproběhne zcela bez přičinění uživatele. Oběť musí otevřít škodlivý soubor nebo navštívit podvrženou stránku, která připravená data předloží zranitelné instalaci. Reálnou cestou šíření proto mohou být falešné faktury, dokumenty, herní modifikace nebo archivy přiložené k podvodným e-mailům.

Aktualizace se nestáhne automaticky

Vývojář 7-Zipu Igor Pavlov opravil chybu ve verzi 26.02, která vyšla 25. června 2026. Bezpečnostní úprava přidává kontroly, jež mají zabránit zapisování dekomprimovaných dat za hranici dostupné paměti.

Pro uživatele je podstatné, že 7-Zip nemá vlastní automatické aktualizace. Ani pravidelně používaná instalace proto nemusí být aktuální. Číslo verze lze zkontrolovat přímo v programu v nabídce Nápověda a O aplikaci 7-Zip. Bezpečná je verze 26.02, případně jakákoli novější.