Alerta de Vulnerabilidade - 7-Zip

Foi identificada uma vulnerabilidade de heap-based buffer overflow (CWE-122), identificada como CVE-2026-14266, na ferramenta de compressão 7-Zip, no processamento de dados XZ em blocos (chunked data) especialmente manipulados [1][2][3][4].

São afetadas as versões de 7-Zip anteriores à 26.02. A correção consta da versão 26.02, disponibilizada a 25 de junho de 2026 [3][4].

Um atacante pode construir um ficheiro XZ malicioso especialmente manipulado e induzir a vítima a abri-lo, por exemplo através de um anexo de mensagens de correio eletrónico. Ao ser processado pelo 7-Zip, o ficheiro provoca a corrupção de memória em heap, permitindo a execução de código arbitrário no contexto do utilizador que abre o ficheiro [2][4]. A exploração requer interação do utilizador e o código executado herda os privilégios da conta que abriu o ficheiro [2].

Sendo o 7-Zip amplamente utilizado e as ferramentas de compressão um vetor frequente de distribuição de código malicioso, a probabilidade de utilização em campanhas de distribuição por correio eletrónico é relevante. A vulnerabilidade foi divulgada, através do aviso ZDI-26-444, após a disponibilização da correção.
Recomenda-se a atualização imediata para a versão 26.02 ou superior do 7-Zip [3][4].

Medidas adicionais recomendadas:

• Uma vez que o 7-Zip não dispõe de mecanismo de atualização automática, inventariar e atualizar manualmente todas as instalações, incluindo instalações portáteis e versões integradas noutras aplicações;
• Reforçar a sensibilização dos utilizadores para não abrirem arquivos de origem não fidedigna, nomeadamente os recebidos por correio eletrónico;
• Reforçar os controlos de filtragem de anexos e de conteúdo no correio eletrónico e no perímetro.

[1] - https://nvd.nist.gov/vuln/detail/CVE-2026-14266
[2] - https://www.zerodayinitiative.com/advisories/ZDI-26-444/
[3] - https://www.7-zip.org/history.txt
[4] - https://cybersecuritynews.com/7-zip-vulnerability-code-execution/