7-Zip 補 XZ 解碼堆溢出｜CVE-2026-14266，21.07 到 26.01 全中，26.02 已修
一句話總結
Trend Micro ZDI 7 月 15 日披露 7-Zip CVE-2026-14266，XZ 壓縮塊解碼堆緩衝溢出，打開精心構造的 XZ 壓縮包可 RCE。ZDI 評分 7.0（High），影響 21.07 到 26.01，6 月 25 日發布的 26.02 已修，暫無野外利用。
7-Zip 補 XZ 解碼堆溢出｜CVE-2026-14266，21.07 到 26.01 全中，26.02 已修
Trend Micro ZDI 7 月 15 日詳細披露 7-Zip 的 CVE-2026-14266——XZ 壓縮塊解碼時的堆緩衝溢出。攻擊者只要誘導用戶用 7-Zip 打開精心構造的 XZ 壓縮包，即可在受害機器上執行代碼。ZDI 評分 7.0（High），非零點擊——需要用戶交互，不需提權；不少媒體把嚴重性標成 Critical 是拉高了。
影響範圍從 21.07 到 26.01，修復版本是 26.02，6 月 25 日已上線。截至 7 月 20 日，The Hacker News 未見公開 PoC，也沒野外利用報告。
攻擊面很日常：郵件附一份「訂單.xz」、Telegram 群丟一份「補丁包.xz」、或伪裝成 CI 工件的下載鏈接。用戶只要習慣性右鍵解壓，代碼就跑起來了。所有從外部收壓縮包的機器，立即升到 26.02 或更高，沒有替代方案。
via The Hacker News / BleepingComputer
Trend Micro ZDI 7 月 15 日詳細披露 7-Zip 的 CVE-2026-14266——XZ 壓縮塊解碼時的堆緩衝溢出。攻擊者只要誘導用戶用 7-Zip 打開精心構造的 XZ 壓縮包，即可在受害機器上執行代碼。ZDI 評分 7.0（High），非零點擊——需要用戶交互，不需提權；不少媒體把嚴重性標成 Critical 是拉高了。
影響範圍從 21.07 到 26.01，修復版本是 26.02，6 月 25 日已上線。截至 7 月 20 日，The Hacker News 未見公開 PoC，也沒野外利用報告。
攻擊面很日常：郵件附一份「訂單.xz」、Telegram 群丟一份「補丁包.xz」、或伪裝成 CI 工件的下載鏈接。用戶只要習慣性右鍵解壓，代碼就跑起來了。所有從外部收壓縮包的機器，立即升到 26.02 或更高，沒有替代方案。
via The Hacker News / BleepingComputer
