圧縮ソフト 7-Zip で任意のコード実行につながる脆弱性が判明

セキュリティメディア「The Hacker News」は米国時間の2026年7月20日、圧縮ソフト 7-Zip における新たな脆弱性について報じました。「CVE-2026-14266」と呼ばれる問題で、公表時点では実際の悪用や実証コードの公開は確認されていないとのことです。

手口としては、標的となるコンピューター上で、特別に細工されたXZ形式の圧縮ファイルを 7-Zip で開かせるというものです。被害者がメールの添付ファイルやWebサイト経由で入手した不審なファイルを開いてしまうと、7-Zip が動作する権限と同じ権限で、不正なプログラムを実行されてしまう恐れがあります。

この脆弱性で根本的な問題となっているのが、データの展開時にメモリーの容量を正しく管理できていなかったという 7-Zip 側の処理の不備です。展開したデータを書き込む際、本来であれば残りの空き容量を確認しながら処理すべきところ、書き込み済みの分が考慮されておらず、確保された領域を超えてデータを受け入れてしまう状態になっていました。ここが攻撃を許す主要な糸口になっています。