7-ZipにXZアーカイブ処理の脆弱性、展開時のコード実行を許す恐れも最新版で対策済み

要点

• 圧縮解凍ソフト「7-Zip」において、細工されたXZ形式ファイルを展開する際に任意のコードを実行される脆弱性が判明した。

• 脆弱性「CVE-2026-14266」はヒープバッファオーバーフローに起因し、深刻度は「高（CVSS 7.0）」と評価されている。

• すでに2026年6月25日リリースの「7-Zip 26.02」で修正されており、ユーザーには手動での更新が推奨されている。

• 現時点でこの脆弱性を悪用する実証コードの公開や、実際の攻撃への悪用は確認されていない。

• ファイル圧縮・解凍ソフト「7-Zip」に、特定の圧縮ファイル処理に関する脆弱性が発見された。トレンドマイクロの脆弱性情報提供プログラム「Zero Day Initiative（ZDI）」が2026年7月15日にセキュリティ勧告を公表した。細工されたXZ形式（圧縮形式の一種）のファイルを展開する際、実行中プロセスの権限で任意のコードが実行される危険性があるという。

• 脆弱性「CVE-2026-14266」は、XZ形式のチャンク（分割されたデータブロック）を処理するデコーダの実装不備に起因する。ZDIによると、この不備によりヒープ（プログラムの実行中に動的に確保されるメモリ領域）において、用意されたメモリ容量を超えてデータが書き込まれる「バッファオーバーフロー」が発生する。

• 具体的な問題は、7-Zipソースコード内の MixCoder_Code 関数（ファイルパス C/XzDec.c）に存在する。XZデータストリームがフィルターを通過して出力される際、デコーダに「残りの空き容量」ではなく「バッファ全体の長さ」が渡されていた。このため、デコーダが割り当て領域を超えて書き込みを行い、メモリ破損やコード実行を引き起こしていたという。

• 深刻度は10点満点中「7.0」の「高（High）」と評価された。悪用には複数の条件が重なるためだ。まず、攻撃経路はローカル（AV:L）に限定され、ネットワーク経由で直接攻撃はできない。攻撃の成立には、電子メールなどで送られた細工ファイルをユーザー自身が開く（UI:R）必要がある。また、悪用の難易度（AC:H）も高く、安定した攻撃の実行は容易ではないとされる。

• コードが実行されても特権昇格（制限された権限を不正に管理者権限へ引き上げる行為）は発生せず、7-Zipプロセスの権限を引き継ぐ。Windows環境では、通常の7-Zipは制限された標準ユーザー権限で動作するため、管理者特権で起動されていない限り攻撃者の権利も制限される。なお、この不備は少なくとも2021年のバージョン21.07から存在していたが、実際にどのバージョンが影響を受けるかは明確にされていない。

• この脆弱性はLunbun LLCのLandon Peng氏が発見し、2026年6月5日に7-Zip開発元へ報告した。これを受け、開発元は6月25日に「7-Zip 26.02」をリリースして修正した。ZDIによる公表の約20日前に修正版が提供されていた形だ。なお、2026年7月20日時点で、実証コード（PoC：脆弱性を実証するための検証プログラム）の公開や、実際の攻撃への悪用は報告されていない。

• 7-Zipでは近年、メモリ安全性に関する脆弱性の修正が続いている。2026年4月27日公開のバージョン26.01でも、NTFSハンドラーのヒープ書き込みオーバーフロー脆弱性（CVE-2026-48095）など複数が修正されていた。今回のXZデコーダの問題も含め、バージョン26.02にはこれらすべての修正が統合されているため、アップデートによりまとめて対策できる。

• 7-Zipには自動更新機能がないため、公式サイトから手動で最新版をインストールする必要がある。そのため、アップデートを放置している環境では脆弱性が残り続ける。また、他社製ソフトウェアが7-ZipのXZデコーダコードを組み込んでいるケースもあり、その場合は各製品ベンダーによる個別の修正対応が必要となる。