7-Zip
7-Zip: scrittura fuori dai limiti nell'heap con archivi CAB multi-volume manipolati
Il problema, secondo i dati ufficiali
- Il decoder LZX di 7-Zip può scrivere fuori dai limiti della memoria heap, corrompendo la memoria, quando un volume CAB di continuazione dichiara una finestra più piccola. Un valore _pos rimasto dal volume precedente aggira i controlli sui limiti e questo può permettere l'esecuzione di codice arbitrario.
- Per sfruttarla serve un'azione dell'utente: la vittima deve estrarre un archivio CAB multi-volume costruito ad hoc. Secondo il punteggio ufficiale, chi attacca non ha bisogno di un account.
Cosa fare
- Aggiorna 7-Zip alla versione 26.06 o successiva.
Versioni interessate
- 7-Zip: prima della 26.06
Ne parlano
- Sanata vulnerabilità in 7-Zip — CSIRT Italia, 11 novembre 2026
Fonti ufficiali
- github.com — patch
- github.com — note di rilascio
- github.com — riferimento
- potion-brew.pages.dev — riferimento
- www.vulncheck.com — riferimento
Descrizione ufficiale (in inglese)
7-Zip before 26.06 contains a heap out-of-bounds write vulnerability in the LZX decoder that lets attackers corrupt memory when a continuation CAB volume declares a smaller window. Attackers can entice victims to extract crafted multi-volume CAB archives, where a stale _pos value bypasses bounds checks, enabling arbitrary code execution.
Non sai se ti riguarda?
Se usi 7-Zip e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Ultimo aggiornamento: 13 novembre 2026. Prima di intervenire verifica l'avviso del produttore.