7-Zip corrige une faille permettant d’exécuter du code à l’ouverture d’une archive piégée
Posté : mar. 21 juil. 2026 08:12
7-Zip corrige une faille permettant d’exécuter du code à l’ouverture d’une archive piégée
Une vulnérabilité de 7-Zip peut permettre l’exécution de code lors de l’ouverture d’une archive malveillante. Le correctif est disponible, mais doit être installé manuellement.
Ouvrir une archive reçue par mail pourrait suffire à compromettre un PC équipé d’une ancienne version de 7-Zip. Le logiciel de compression a corrigé une faille de sécurité touchant le traitement des données au format XZ. Un fichier spécialement conçu peut provoquer un dépassement de mémoire et, dans certaines conditions, permettre l’exécution de code avec les droits de la victime. Aucune exploitation de la vulnérabilité n’a toutefois été observée à ce jour.
Une faille corrigée, mais une mise à jour à installer soi-même
Découverte par Landon Peng, chercheur chez Lunbun LLC, la vulnérabilité a été signalée à 7-Zip le 5 juin dernier par l’intermédiaire de la Zero Day Initiative de Trend Micro. Elle a été rendue publique de manière coordonnée le 15 juillet sous l’identifiant CVE-2026-14266 et affiche un score de gravité de 7 sur 10.
La faille se situe dans le décodeur chargé de traiter les données XZ découpées en blocs. Une archive malveillante peut l’amener à écrire au-delà de l’espace disponible dans une zone de mémoire, provoquant un dépassement de tampon dans le tas.
L’erreur peut entraîner le plantage de 7-Zip. Une exploitation plus poussée pourrait aussi permettre à un attaquant d’exécuter du code avec les droits de la personne connectée. L’opération reste toutefois complexe et suppose de convaincre la cible de consulter une page malveillante ou d’ouvrir une archive piégée, par exemple dans le cadre d’une campagne de phishing.
La faille a été corrigée dans 7-Zip 26.02, publié le 25 juin dernier. Le correctif contrôle désormais l’espace encore disponible avant que le décodeur écrive de nouvelles données dans le tampon.
Problème, 7-Zip ne dispose pas de système de mise à jour automatique intégré. Les utilisateurs et utilisatrices doivent donc télécharger et installer eux-mêmes la dernière version du logiciel. Vous savez ce qu’il vous reste à faire.
merci à CLUBIC
Une vulnérabilité de 7-Zip peut permettre l’exécution de code lors de l’ouverture d’une archive malveillante. Le correctif est disponible, mais doit être installé manuellement.
Ouvrir une archive reçue par mail pourrait suffire à compromettre un PC équipé d’une ancienne version de 7-Zip. Le logiciel de compression a corrigé une faille de sécurité touchant le traitement des données au format XZ. Un fichier spécialement conçu peut provoquer un dépassement de mémoire et, dans certaines conditions, permettre l’exécution de code avec les droits de la victime. Aucune exploitation de la vulnérabilité n’a toutefois été observée à ce jour.Une faille corrigée, mais une mise à jour à installer soi-même
Découverte par Landon Peng, chercheur chez Lunbun LLC, la vulnérabilité a été signalée à 7-Zip le 5 juin dernier par l’intermédiaire de la Zero Day Initiative de Trend Micro. Elle a été rendue publique de manière coordonnée le 15 juillet sous l’identifiant CVE-2026-14266 et affiche un score de gravité de 7 sur 10.
La faille se situe dans le décodeur chargé de traiter les données XZ découpées en blocs. Une archive malveillante peut l’amener à écrire au-delà de l’espace disponible dans une zone de mémoire, provoquant un dépassement de tampon dans le tas.
L’erreur peut entraîner le plantage de 7-Zip. Une exploitation plus poussée pourrait aussi permettre à un attaquant d’exécuter du code avec les droits de la personne connectée. L’opération reste toutefois complexe et suppose de convaincre la cible de consulter une page malveillante ou d’ouvrir une archive piégée, par exemple dans le cadre d’une campagne de phishing.
La faille a été corrigée dans 7-Zip 26.02, publié le 25 juin dernier. Le correctif contrôle désormais l’espace encore disponible avant que le décodeur écrive de nouvelles données dans le tampon.
Problème, 7-Zip ne dispose pas de système de mise à jour automatique intégré. Les utilisateurs et utilisatrices doivent donc télécharger et installer eux-mêmes la dernière version du logiciel. Vous savez ce qu’il vous reste à faire.
merci à CLUBIC