Neues aus der IT-Welt

17. Juli 2026

Im populären Packer 7-Zip klafft eine Sicherheitslücke, durch die Angreifer Schadcode einschleusen und ausführen könnten. Dazu reicht das Besuchen einer bösartigen Webseite oder das Öffnen einer bösartig präparierten Datei.

Trend Micros Zero-Day-Initiative (ZDI) hat die Schwachstelle entdeckt und gemeldet. Bei der Verarbeitung von Daten im xz-Format kann ein Heap-basierter Pufferüberlauf auftreten. Angreifer können die Lücke mißbrauchen, um Schadcode im Kontext des aktuellen Prozesses auszuführen (CVE-2026-14266, CVSS 7.0, Risiko "hoch"). Der konkrete CVE-Schwachstelleneintrag ist zum Meldungszeitpunkt weder unter cve.org noch in der NVD-Datenbank des NIST öffentlich.

Die aktualisierte Fassung 7-Zip 26.02 steht für Linux, macOS und Windows (sowohl ARM64 als auch x64 und x86) zum Download bereit, bereits seit Ende Juni. Das Changelog nennt lediglich einige gefixte Bugs und Schwachstellen, auch letztere jedoch im Plural. Es könnten also noch mehr Sicherheitslücken bekannt werden, die die Aktualisierung auf Stand 26.02 ausbessert. Nutzer sowie Admins sollten daher nicht zögern und die Aktualisierung zügig vornehmen.

Neben dem manuellen Download und der Installation gibt es auch die Möglichkeit, WinGet zum Aktualisieren zu nutzen. An der Eingabeaufforderung muß dazu der Befehl winget upgrade --all aufgerufen werden. Das aktualisiert nicht nur 7-Zip, sondern auch weitere installierte Drittanbieter-Software. Der routinemäßige Aufruf dieses Befehls hilft, die Angriffsfläche auf das System zu minimieren.

Zuletzt hatte 7-Zip Ende Mai eine hochriskante Sicherheitslücke mit dem Update auf Version 26.01 geschlossen. Da lag der Fehler bei der Verarbeitung komprimierter NTFS-Streams. Manipulierte Daten konnten 7-Zip zum Absturz bringen oder zur Ausführung eingeschmuggelten Schadcodes führen.