Kritische Sicherheitslücke in 7-Zip: Präparierte XZ-Dateien können Schadcode ausführen

Die wichtigsten Informationen im Überblick

Die Zero Day Initiative bewertet die Schwachstelle mit einem CVSS-Score von 7,0. Vertraulichkeit, Integrität und Verfügbarkeit können vollständig beeinträchtigt werden.

Welche 7-Zip-Versionen sind betroffen?

Die Schwachstelle wurde in 7-Zip 26.02 behoben. Portable Installationen, 32-Bit-, 64-Bit- und ARM64-Ausgaben sowie eingebettete 7-Zip-Komponenten müssen ebenfalls geprüft werden.

Wie funktioniert der Angriff?

Die Schwachstelle steckt in der Verarbeitung sogenannter XZ Chunked Data. Eine präparierte Datei kann beim Dekomprimieren dazu führen, dass 7-Zip mehr Daten in einen Speicherbereich schreibt, als dort vorgesehen sind — ein klassischer Heap Buffer Overflow.

1. 1Angreifer erstellt eine speziell manipulierte, XZ-komprimierte Datei.
2. 2Die Datei wird per E-Mail, Cloud-Link, Download oder Support-Ticket verteilt.
3. 3Ein Benutzer öffnet oder verarbeitet die Datei mit einer verwundbaren 7-Zip-Version.
4. 4Die manipulierten Daten lösen einen Speicherüberlauf aus.
5. 5Im schlimmsten Fall übernimmt eingeschleuster Code den Programmablauf.
6. 6Der Schadcode läuft mit den Berechtigungen des betroffenen 7-Zip-Prozesses.

Warum ein CVSS-Wert von 7,0 trotzdem ernst ist

Ein CVSS-Wert von 7,0 wird als „hoch" eingestuft. Die Bewertung fällt niedriger aus, weil eine Benutzeraktion erforderlich ist, die Angriffskomplexität als hoch bewertet wird und der Angreifer die präparierte Datei zunächst zum Ziel bringen muss.

Bei erfolgreicher Ausnutzung können die Auswirkungen jedoch umfassend sein: Datenzugriffe, Manipulationen und Systemausfälle sind möglich.

Warum die Schwachstelle für Unternehmen besonders relevant ist

7-Zip ist auf zahlreichen Arbeitsplatzrechnern installiert, wird aber häufig nicht wie klassische Unternehmenssoftware verwaltet. Viele Installationen wurden vor Jahren manuell eingerichtet und seitdem nicht mehr aktualisiert. Hinzu kommen portable Ausgaben, Kommandozeilenprogramme und Softwareprodukte, die Bestandteile von 7-Zip oder die Bibliothek 7z.dll mitliefern.

Weitere relevante 7-Zip-Sicherheitslücken 2026

Version 26.02 löst nicht automatisch jedes aktuelle 7-Zip-Problem. Diese Übersicht zeigt den Stand der derzeit öffentlich dokumentierten Schwachstellen:

Was private Nutzer jetzt tun sollten

1. 7-Zip öffnen.
2. Im Menü auf Hilfe klicken.
3. Über 7-Zip auswählen.
4. Versionsnummer kontrollieren.
5. Liegt die Version unter 26.02, aktualisieren.

Bis zur Aktualisierung sollten unbekannte Archive nicht geöffnet werden — insbesondere Dateien aus unerwarteten E-Mails, Messenger-Nachrichten, Download-Portalen und Cloud-Freigaben.

Was Administratoren jetzt prüfen sollten

Version per PowerShell prüfen

Auf Windows-Systemen lässt sich die Dateiversion einer typischen 7-Zip-Installation mit folgendem PowerShell-Skript kontrollieren. Portable Kopien an anderen Speicherorten werden dabei nicht erfasst.

$paths = @(
    "$env:ProgramFiles\7-Zip\7z.exe",
    "${env:ProgramFiles(x86)}\7-Zip\7z.exe"
)
foreach ($path in $paths) {
    if (Test-Path $path) {
        $file = Get-Item $path
        [PSCustomObject]@{
            Path    = $file.FullName
            Version = $file.VersionInfo.FileVersion
        }
    }
}

FAQ zur 7-Zip-Sicherheitslücke

Fazit

Mit CVE-2026-14266 ist eine weitere Sicherheitslücke in 7-Zip öffentlich geworden, die über präparierte XZ-Daten zur Ausführung beliebigen Codes führen kann. Der Hersteller hat den Fehler in 7-Zip 26.02 korrigiert. Alle Installationen unterhalb dieser Version sollten kurzfristig aktualisiert werden.

Gleichzeitig zeigt CVE-2026-58052, dass auch Version 26.02 nicht automatisch gegen jede derzeit bekannte 7-Zip-Schwachstelle geschützt ist. Das Update ist daher ein notwendiger erster Schritt — aber kein Ersatz für kontinuierliches Schwachstellen- und Patchmanagement.