Krytyczna luka w 7-Zip. Otwarcie archiwum przejmuje kontrolę nad komputerem

CVE-2026-14266 to krytyczna podatność w obsłudze archiwów XZ w 7-Zip. Wystarczy otworzyć spreparowane archiwum, by atakujący wykonał dowolny kod na komputerze ofiary. Problem dotyczy wszystkich wersji poniżej 26.02. Aktualizacja jest dostępna i zalecana natychmiast.

[kinlej]

nie chcieliście płacić za winrar to macie

[Quassar]

@kinlej: ale winrar przez wiele lat miał podobną luke i bodajże 1-2 lata temu też załatali i okazalo sie w 2026 że nie do końca xD

https://www.malwarebytes.com/pl/blog/news/2026/07/winrar-flaw-could-allow-attackers-to-take-control-of-your-computer

[chmiels]

@Quassar: zawsze jest jeszcze jeden błąd

[GolfNiePotrafi]

Dobrze, że 7zip ma wbudowane automatyczne instalowanie aktualizacji :D

[3.....k]

@GolfNiePotrafi:
<ja który zawsze odznacza takie opcje żeby mi się wygląd programu nie zmienił>

[mmzf]

@GolfNiePotrafi: W środowisku korporacyjny ta funkcja jest zawsze.... wylaczona paradoksalnie ze wzgledów bezieczeństwa często jedzie się na wersj N-1 tak aby nie było możliwości ataku na serwer aktualizujący lub aktualizacje są robione w 2 turze np po x czasu od release - taki paradoks

[00F6x]

Igor Pavlov załatał lukę miesiąc temu.
2026-06-26
https://sourceforge.net/p/sevenzip/discussion/45797/thread/b8d64839d0/
NanaZip; 2026-07-03: https://github.com/M2Team/NanaZip/releases/tag/6.5.1767.0

[23kulpamens]

Super artykuł, ani info na jakich os, wersja bezpieczne a to ta sama co poddatna, no xD

[zrakiep]

@23kulpamens: nic jeszcze nie wiadomo: nie ma jeszcze fixa i nie ujawniono co to za błąd. No zdanie o updatowaniu do i tak podatnej wersji to tak, niefortunne :)

[23kulpamens]

@zrakiep: do tego chodzi o współpracę z implementacją NTFS w wykonaniu Mikroslopu
https://securitylab.github.com/advisories/GHSL-2026-140_7-Zip/
ech, szkoda pisać

[jatylkonapiwo]

a jak to wygląda z np. totalcommanderem? TC używa swojego czy wykorzystuje 7z? Bo ja zawsze 7z otwieram w TC.. i jestem ciekaw

[Daareek]

@jatylkonapiwo: jak masz aktualnego TC 11.58 to wbudowana biblioteka 7-Zip to 26.02, zalecana w przypadku tej luki. O ile nie masz jakiejs dodatkowej zewnetrznej wtyczki do 7-Zip to OK.

[jatylkonapiwo]

@Daareek: od kilku godzin mam 11.58.. xd wcześniej korzystałem z 9.xx Dzięki.

[myMyselfAndIAgain]

o jakim systemie operacyjnym ofiary mowa?

[szczyp1orek]

Czemu nie jest to luka systemu operacyjnego, może ktoś wytłumaczyć laikowi?

[dktr]

@szczyp1orek: Bo błąd dotyczy luki w dekompresji xz a tego wbudowany w Windows paker/depaker nie wspiera.

[Otete]

@szczyp1orek: bo tytuł to clickbait. Nie można wykonać dowolnego kodu, a tylko tkai na jaki pozwalają uprawnienia.

[adenrno]

Jak to dobrze, że ja używam p7zip

[ryhu]

@adenrno: to świetnie, ale ja mam duży dysk i w ogóle nie muszę pakować

[ryhu]

@adenrno: emacsem przez sendmail

[Lalatina]

Tytuł znaleziska zawiera błędne stwierdzenie, o którym nie ma mowy w artykule.
Możliwość zdalnego wykonania kodu to nie to samo co przejęcie kontroli nad komputerem.
Za przejęcie kontroli nad komputerem uznaje się zdobycie roota / admina.

[ButtHurtAlert]

@Lalatina: teraz już nie ma konta administratora na Windowsie per se, domyślne pierwsze konto jest administratorem jakoś od win10 więc tak jak ma 99% użytkowników. W dodatku z tego co pamiętam są problemy żeby usunąć admina z konta Microsoftowego.

A takie czepianie się słówek jest bez sensu, user privilege gain to jedna ze ścieżek w tablicy mittre idąca dalej do admin privilege gain. Zresztą Wystarczy że odpali skrypt powershella w

[ni0bi]

Czyli masz konto z uprawnieniami administratora, które nie nazywa się "Administrator". Wygrałeś dyskusję ( ͡° ͜ʖ ͡°)

@Lalatina: nie trzeba miec uprawnien admina do tego (－‸ლ) polecam przeczytac o granulacji uprawnien.

[edgar-kis]

Jak ci wmawiają ze coś jest podatne na ataki to wiedz ze ludzie zapomnieli o aktualizacji bo im to dobrze chodzi.