7-ZipのXZ展開処理の脆弱性CVE-2026-14266
7-Zipの更新履歴は、2026年6月25日の版26.02の項に、XZ展開でのヒープベースのバッファオーバーフローによるリモートコード実行の脆弱性CVE-2026-14266を挙げている［1］。Trend MicroのZero Day Initiative（ZDI）は7月15日〔注1〕のアドバイザリZDI-26-444で、悪用には標的が悪意のあるページを訪れるか悪意のあるファイルを開く必要があると説明した［10］。
脆弱性の内容
ZDIはアドバイザリで、欠陥はXZ chunked dataの処理にあり、細工したXZ圧縮データでヒープ上のバッファのオーバーフローを起こしうると説明した［10］。攻撃者はこれを利用し、現在のプロセスの権限でコードを実行しうる［10］。ZDIは発見者としてLunbun LLC（Landon Peng）を挙げた［10］。
| 項目 | 値 | 示した組織 | 資料 |
|---|---|---|---|
| CVSS | 7.0（AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H） | ZDI | ［10］ |
| CVSS 3.1 | 7.8（AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H） | NVD | ［9］ |
| CVSS v4 | 7.3 | SUSE | ［6］ |
| CWE | CWE-122（ヒープベースのバッファオーバーフロー） | CVE記録 | ［8］ |
| 深刻度 | important | SUSE | ［6］ |
| 深刻度 | Important | Amazon Linux | ［7］ |
| 優先度 | Medium | Ubuntu | ［5］ |
The Hacker News（THN）は7月20日の記事で、版ごとのXZデコーダーのソースを比べ、修正はC/XzDec.cの関数MixCoder_Codeの1か所にあると報じた［12］。XZストリームの出力をフィルターに通すとき、デコーダーには前の書き込みの後の残りではなく、出力バッファの全長が毎回渡されていた［12］。26.02は書き込み済みのバイト数を差し引き、累計がバッファを超えたら処理を打ち切る［12］。
THNの同じ記事では、実行されるコードは7-Zip自体が持つトークンで動き、独自の権限は得ない［12］。Windowsでは、通常起動した7-Zipは管理者のアカウントでもフィルターされた標準ユーザーのトークンで動くので、昇格して起動していない限り、攻撃者はその制限された権限を引き継ぐ［12］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | - | 開発元に脆弱性が報告された | ［10］ |
| 2026年 | 7-Zip | 版26.02を出した | ［1］ |
| 2026年 | 7-Zip | 開発者がSourceForgeのフォーラムで26.02の公開を告知した | ［2］ |
| 2026年 | ZDI | CNAとしてCVE番号を予約し、割り当てた | ［8］ |
| 2026年 | ZDI | アドバイザリを協調して公開し、同じ日に更新した | ［10］ |
| 2026年 | Amazon Web Services | Amazon LinuxのCVEのページを公開した | ［7］ |
| 2026年 | CVE Program・NVD | CVE記録とNVDの記録を公開した | ［8、9］ |
| 2026年 | Amazon Web Services | Amazon Linux 2023の7zipをALAS2023-2026-2037で修正した | ［7］ |
| 2026年 | SUSE | SUSE-SU-2026:23317-1を公開した | ［6］ |
| 2026年 | SUSE | SUSE-SU-2026:3869-1を公開した | ［6］ |
| 2026年 | Bosch | PRI7000の告知BOSCH-SA-069646の初版を公開した | ［3］ |
対象の製品と版
ZDIのアドバイザリは、影響を受けるベンダーと製品をいずれも7-Zipとだけ書き、版の範囲を示していない［10］。THNは、同じ長さの扱いが少なくとも21.07（2021年）までのソースに変わらずあると報じた［12］。
| 項目 | 値 | 示した組織 | 資料 |
|---|---|---|---|
| 影響を受ける版 | 26.02未満 | NVD | ［9］ |
| 影響を受ける版 | 26.01（既定の状態はunknown） | CVE記録 | ［8］ |
| 影響を受ける版 | 26.01以前 | Bosch | ［3］ |
| 配布元 | 状態 | 修正版・アドバイザリ | 資料 |
|---|---|---|---|
| Debian（bookwormの7zip） | fixed（通常の版22.01+really26.01はvulnerable） | 22.01+really26.02+dfsg-0+deb12u1（DLA-4718-1） | ［4］ |
| Debian（bullseye・bookwormのp7zip） | fixed | 16.02+really26.02+dfsg-0+deb11u1・deb12u1（DLA-4719-1） | ［4］ |
| Debian（trixieの7zip） | vulnerable | 25.01+dfsg-1~deb13u2が該当 | ［4］ |
| Ubuntu（22.04〜26.10の7zip） | Needs evaluation | - | ［5］ |
| SUSE（7zip） | 修正版を配布 | 7zip 26.02-150400.9.9.1以降（SUSE-SU-2026:23317-1、SUSE-SU-2026:3869-1） | ［6］ |
| Amazon Linux 2023（7zip） | Fixed | ALAS2023-2026-2037 | ［7］ |
| Amazon Linux（p7zip、2027 Previewの7zip） | Not Affected | - | ［7］ |
| Bosch Rexroth AG（PRI7000） | 影響あり | 1.11.17.3・1.11.18.3・1.11.19.1以降（BOSCH-SA-069646） | ［3］ |
Debianは、trixieの7zipを軽微な問題とし、安定版の更新で直すと注記した［4］。
悪用の状況
CVE記録に加わったCISAのADP（Vulnrichment）は、SSVCで悪用をnone、自動化をno、技術的影響をtotalと評価した［8］。THNは7月20日の記事で、その日までに公開のPoCも、信頼できる実環境での悪用の報告も見つからなかったと報じた［12］。
修正と回避策
開発者のIgor PavlovはSourceForgeのフォーラムの告知で、26.02の新機能の欄に不具合と脆弱性を修正したとだけ書き、CVE番号を挙げなかった［2］。ZDIは、7-Zip 26.02で修正済みとした［10］。
THNの記事では、更新は公式サイトからの手動のインストールで、放置された端末は自動では更新されない［12］。脆弱な7-ZipのXZデコーダーを同梱する製品には、それぞれのベンダーの修正が要る［12］。
Boschは告知で、Bosch Rexroth AGのソフトウェアPRI7000がポータブル版の7-Zipを同梱していると説明した［3］。攻撃者は利用者のPC上で同梱の7-Zipに直接アクセスして悪用でき、PRI7000とその他の構成要素を通じた間接の悪用はできない［3］。Boschは利用者に、可能ならPRI7000を表3の修正版以降に更新するよう求めた［3］。
未公表の事項
- 開発元による原因と修正の内容の説明
- 悪用が可能な7-Zipの版の範囲（THNは、ZDIも7-Zipも述べていないと報じた［12］）
- Debianのtrixieと、Ubuntuの7zipの修正の時期
- PRI7000以外の、7-Zipを同梱する製品の対応
注
- 〔注1〕窓の杜は、ZDIがアドバイザリを公開した日を7月15日（米国時間）と報じた［11］。
出典
当事者
- ［1］7-Zip『HISTORY of the 7-Zip』（2026年6月25日公開）
- ［2］7-Zip『7-Zip 26.02』（2026年6月26日公開）
関係組織
- ［3］Robert Bosch GmbH『7-Zip XZ Decompression Heap-based Buffer Overflow bundled with PRI7000』（2026年10月12日公開）
- ［4］Debian Project『CVE-2026-14266』（公開日不明、2026年11月7日閲覧）
- ［5］Canonical Ltd.『CVE-2026-14266』（2026年7月29日公開、2026年8月7日更新）
- ［6］SUSE LLC『CVE-2026-14266』（2026年8月25日公開、2026年11月4日更新）
- ［7］Amazon Web Services, Inc.『CVE-2026-14266』（2026年7月18日公開、2026年9月11日更新）
公的機関
- ［8］CVE Program『CVE-2026-14266』（2026年7月29日公開、2026年7月30日更新）
- ［9］National Institute of Standards and Technology『CVE-2026-14266』（2026年7月29日公開、2026年8月7日更新）
調査・観測
- ［10］Trend Micro Zero Day Initiative『7-Zip XZ Decompression Heap-based Buffer Overflow Remote Code Execution Vulnerability』（2026年7月15日公開）
報道機関
- ［11］株式会社インプレス『「7-Zip 26.02」で解決された脆弱性は任意コード実行につながるおそれ ～ZDIが公表』（2026年7月16日公開）
- ［12］The Hacker News『New 7-Zip Vulnerability Could Let Crafted XZ Archives Run Code During Extraction』（2026年7月20日公開）
更新記録
- 2026年8月6日：公開した。
- 2026年8月7日：Ubuntuの8月7日の更新（出典5）とNVDの記録の8月7日の更新（出典9）で示された優先度と影響を受ける版を「脆弱性の内容」「対象の製品と版」に加えた。
- 2026年8月25日：SUSEのCVEのページ（出典6）の評価とSUSE-SU-2026:23317-1、SUSE-SU-2026:3869-1を「脆弱性の内容」「時系列」「対象の製品と版」に加えた。
- 2026年9月11日：Amazon Linuxの9月11日の更新（出典7）で示されたAmazon Linux 2023の修正と影響の無いパッケージを「時系列」「対象の製品と版」に加えた。
- 2026年10月12日：Robert Bosch GmbHのPRI7000の告知（出典3）を加え、「時系列」「対象の製品と版」「修正と回避策」を改めた。
- 2026年11月4日：SUSEのCVEのページの11月4日の更新（出典6）を確かめ、「対象の製品と版」の表3のSUSEの行を改めた。