7-Zip 26.02 schliesst Sicherheitslücke: Manipulierte XZ-Archive können Schadcode ausführen
Eine Schwachstelle im XZ-Decoder von 7-Zip kann beim Verarbeiten speziell präparierter Daten einen Heap-Pufferüberlauf auslösen. Im schlimmsten Fall lässt sich dadurch Code mit den Rechten des laufenden 7-Zip-Prozesses ausführen. Die abgesicherte Version 26.02 steht bereits bereit – installiert sich bei klassischen Windows-Installationen jedoch nicht automatisch.
trifft auf XZ-Decoder RCE?
Das Wichtigste in Kürze
7-Zip-Nutzer sollten Version 26.02 installieren
- Die Schwachstelle trägt die Kennung CVE-2026-14266 und betrifft die Verarbeitung speziell aufgebauter XZ-Daten.
- Ein erfolgreicher Angriff kann Code im Kontext des aktuellen 7-Zip-Prozesses ausführen.
- Die Zero Day Initiative bewertet die Lücke mit CVSS 7,0 und damit als Risiko «hoch».
- Eine Nutzeraktion ist erforderlich; das blosse Vorhandensein einer Datei auf dem System reicht nicht aus.
- Der Fehler wurde am 5. Juni 2026 gemeldet, am 25. Juni mit 7-Zip 26.02 behoben und am 15. Juli öffentlich beschrieben.
- Auch Programme, die betroffene 7-Zip-Komponenten integriert mitliefern, benötigen gegebenenfalls ein eigenes Hersteller-Update.
Was genau ist passiert?
7-Zip unterstützt neben dem eigenen 7z-Format zahlreiche weitere Archiv- und Kompressionsformate. Dazu gehört XZ, ein Containerformat, das typischerweise mit LZMA2-Kompression arbeitet. Die nun veröffentlichte Schwachstelle befindet sich nicht im Entschlüsseln eines Passworts oder in der Windows-Shell-Integration, sondern in der Verarbeitung speziell präparierter, in Blöcke aufgeteilter XZ-Daten.
Laut der Zero Day Initiative kann eine manipulierte Eingabe dazu führen, dass 7-Zip über die vorgesehene Grenze eines im Heap reservierten Speicherbereichs hinausschreibt. Ein solcher Heap-Pufferüberlauf kann zunächst einen Absturz verursachen. Unter geeigneten Bedingungen lässt sich die Speicherbeschädigung jedoch so steuern, dass fremder Programmcode ausgeführt wird.
1. Präparierte Datei
Ein Angreifer erstellt XZ-komprimierte Daten, die gezielt problematische Decoder-Zustände auslösen.
2. Speicherfehler
Beim Dekomprimieren schreibt der Decoder ausserhalb des dafür vorgesehenen Heap-Puffers.
3. Mögliche Codeausführung
Bei erfolgreicher Ausnutzung läuft eingeschleuster Code mit den Rechten des aktuellen Prozesses.
«Remote Code Execution» bedeutet in diesem Fall nicht, dass ein beliebiger Rechner allein durch eine offene Netzwerkverbindung übernommen werden kann. Der Angreifer kann die manipulierte Datei zwar aus der Ferne zustellen – etwa per Phishing-Mail oder Download-Link –, das Opfer muss sie aber öffnen oder durch einen automatisierten Prozess mit der verwundbaren Komponente verarbeiten lassen.
Wie hoch ist das Risiko wirklich?
Die Zero Day Initiative vergibt einen CVSS-Wert von 7,0. Der zugehörige Vektor weist einen lokalen Angriffsweg, hohe Angriffskomplexität, keine vorher benötigten Rechte und erforderliche Nutzerinteraktion aus. Vertraulichkeit, Integrität und Verfügbarkeit können bei erfolgreicher Ausnutzung jeweils stark beeinträchtigt werden.
Patch war vor der öffentlichen Warnung verfügbar
Der koordinierte Ablauf ist in diesem Fall positiv: Sicherheitsforscher Landon Peng von Lunbun LLC meldete die Schwachstelle am 5. Juni 2026 an den Hersteller. 7-Zip 26.02 erschien am 25. Juni. Die Zero Day Initiative veröffentlichte die technischen Eckdaten erst am 15. Juli. Systeme, die bereits Ende Juni aktualisiert wurden, waren damit vor der breiten Bekanntgabe geschützt.
Die Schwachstelle wird an den 7-Zip-Entwickler gemeldet.
7-Zip 26.02 wird veröffentlicht; die Release Notes nennen allgemein behobene Fehler und Schwachstellen.
Die Zero Day Initiative veröffentlicht CVE-2026-14266 und bestätigt Version 26.02 als Fix.
Aktuelle Installationen sollten kontrolliert und ältere Versionen ersetzt werden.
Auffällig ist, dass die offiziellen Release Notes von 7-Zip nur knapp von behobenen «Bugs und Schwachstellen» sprechen. Erst das später veröffentlichte ZDI-Advisory ordnet den XZ-Fehler konkret einer CVE-Nummer, einem CVSS-Wert und einem möglichen Angriffsszenario zu.
Welche Versionen sind betroffen?
Das ZDI-Advisory nennt keine vollständige Liste sämtlicher verwundbarer Ausgaben. Es bestätigt jedoch ausdrücklich, dass die Schwachstelle in 7-Zip 26.02 behoben wurde. Für die praktische Absicherung ist die Konsequenz eindeutig: Installationen mit 26.01 oder älter sollten nicht weiterverwendet werden.
Das gilt nicht nur für die grafische Windows-Version. 7-Zip-Code und einzelne Decoder werden auch in anderen Anwendungen, Werkzeugen und automatisierten Workflows eingesetzt. Ein Update der separat installierten Desktop-App ersetzt nicht automatisch jede eingebettete Kopie in Drittsoftware.
So prüfen und aktualisieren Sie 7-Zip
Empfohlenes Vorgehen unter Windows
7-Zip verfügt in der klassischen Windows-Ausgabe nicht über einen integrierten Update-Mechanismus, der jede Installation automatisch auf den aktuellen Stand bringt. Gerade ältere PCs und selten genutzte Admin-Werkzeuge können deshalb über Jahre auf derselben Version verbleiben.
Was IT-Verantwortliche zusätzlich beachten sollten
In Unternehmen reicht es nicht, nur den eigenen Arbeitsplatz zu aktualisieren. 7-Zip wird häufig portabel eingesetzt, über Softwarepakete verteilt oder zusammen mit Fachanwendungen installiert. Dadurch können mehrere voneinander unabhängige Kopien auf demselben Gerät existieren.
Softwareinventar abgleichen
Installierte 7-Zip-Versionen, portable Kopien und mitgelieferte Decoder in Anwendungen erfassen. Besonders Systeme priorisieren, die externe Dateien entgegennehmen.
Mail- und Downloadpfade absichern
Ungewöhnliche XZ-Dateien und verschachtelte Archive aus unbekannten Quellen blockieren oder isoliert prüfen, bis alle relevanten Systeme aktualisiert sind.
Automatische Entpacker prüfen
Skripte, CI/CD-Jobs, Malware-Scanner, Importdienste und Support-Portale können Archive ohne sichtbare Nutzeraktion verarbeiten und benötigen deshalb besondere Aufmerksamkeit.
Nicht als Administrator öffnen
7-Zip sollte für alltägliche Archivarbeiten nicht erhöht gestartet werden. Erfolgreich eingeschleuster Code übernimmt grundsätzlich die Rechte des laufenden Prozesses.
Fazit: Kein Grund zur Panik, aber ein klarer Update-Fall
CVE-2026-14266 kombiniert einen realen Speicherfehler mit einem alltäglichen Angriffsweg: manipulierte Archivdateien. Gegen eine sofortige Massenwelle spricht, dass Nutzerinteraktion nötig ist, die Angriffskomplexität als hoch gilt und der Patch schon vor der öffentlichen Beschreibung bereitstand.
Gegen Aufschub spricht jedoch die enorme Verbreitung von 7-Zip und die Tatsache, dass viele Installationen nicht automatisch aktualisiert werden. Wer 7-Zip verwendet, sollte deshalb Version 26.02 oder neuer installieren. Unternehmen sollten zusätzlich nach eingebetteten und portablen Kopien suchen, denn gerade dort können veraltete Decoder unbemerkt weiterlaufen.
Quellen und Datenbasis
Technische Details und Risikobewertungen können nach einer CVE-Veröffentlichung ergänzt werden. Massgeblich sind die jeweils aktuellen Angaben des Herstellers und der koordinierenden Sicherheitsforscher.