Patch management
Un archivio XZ preparato ad arte può trasformare una normale operazione di estrazione file in un tentativo di esecuzione di codice sul computer della vittima. La vulnerabilità, identificata come CVE-2026-14266, interessa il codice con cui 7-Zip gestisce determinati flussi compressi. Il problema non consente un attacco automatico attraverso la rete: l’utente deve aprire, verificare o estrarre il file malevolo: resta comunque una falla da non sottovalutare, soprattutto negli ambienti in cui gli archivi arrivano continuamente tramite email, browser, piattaforme di collaborazione e procedure automatizzate.
7-Zip gestisce da molti anni non soltanto il formato 7z, ma anche ZIP, TAR, GZIP, XZ e numerosi altri formati di immagini disco. Tale ampiezza funzionale costituisce uno dei suoi punti di forza, ma aumenta anche la quantità di codice incaricato di interpretare dati non affidabili.
Nel 2026 il progetto ha già corretto diverse violazioni della memoria nei gestori degli archivi compressi; la nuova falla XZ si inserisce quindi in una sequenza di problemi distinti, accomunati dalla necessità di elaborare strutture binarie complesse senza oltrepassare i limiti dei buffer.
Come nasce l’overflow nel decoder XZ di 7-Zip
