Hai una vecchia versione di 7-Zip? Ecco cosa rischia il tuo PC

Una nuova vulnerabilità scoperta in 7-Zip potrebbe consentire a un aggressore di eseguire codice dannoso sul computer della vittima attraverso un archivio appositamente manipolato. Il problema, identificato come CVE-2026-14266, è stato corretto con la versione 26.02 del popolare programma di compressione, ma c’è un dettaglio importante: 7-Zip non integra un sistema di aggiornamento automatico. Gli utenti devono quindi scaricare e installare manualmente la nuova release.

La falla è stata resa pubblica il 15 luglio 2026 dalla Zero Day Initiative di Trend Micro, che le ha assegnato un punteggio CVSS di 7,0. Non si tratta dunque di una vulnerabilità attivabile senza alcuna interazione: per sfruttarla, l’attaccante deve convincere la vittima ad aprire un file malevolo oppure a visitare una pagina progettata per fornire al software dati compressi manipolati.

Il problema riguarda la decompressione dei file XZ

La vulnerabilità si trova nella routine utilizzata da 7-Zip per elaborare alcuni dati compressi nel formato XZ. Più precisamente, il software non gestisce correttamente le dimensioni di determinati blocchi durante la decompressione di flussi XZ suddivisi in più parti.

Un archivio preparato appositamente può provocare un heap-based buffer overflow, cioè la scrittura di dati oltre i limiti di un’area di memoria allocata dinamicamente. Una corruzione di questo tipo può causare il blocco del programma, ma in condizioni favorevoli può anche essere sfruttata per eseguire istruzioni arbitrarie.

Secondo l’avviso tecnico, l’eventuale codice dannoso verrebbe eseguito nel contesto del processo corrente. In pratica, l’attaccante otterrebbe gli stessi privilegi dell’utente che ha aperto il file. Il rischio sarebbe quindi maggiore sui computer utilizzati abitualmente con un account amministratore.

Non è però corretto affermare che il malware parta semplicemente perché il file è stato scaricato. È necessaria un’azione da parte dell’utente o di un’applicazione che richiami automaticamente i componenti vulnerabili di 7-Zip per analizzare o decomprimere il contenuto.

La correzione è già inclusa in 7-Zip 26.02

La vulnerabilità è stata segnalata al progetto da Landon Peng, ricercatore noto con il nome Lunbun. Il team di sviluppo ha quindi distribuito 7-Zip 26.02 il 25 giugno 2026, alcune settimane prima della pubblicazione dei dettagli tecnici.

Il sito ufficiale indica la versione 26.02 come release corrente e conferma che include correzioni per bug e vulnerabilità. Gli utenti che hanno già installato questa versione risultano pertanto protetti contro CVE-2026-14266.

Per controllare la versione installata su Windows è possibile aprire 7-Zip File Manager e selezionare:

Aiuto → Informazioni su 7-Zip

Chi utilizza una release precedente dovrebbe scaricare la nuova versione dal sito ufficiale e avviare il programma di installazione. Nella maggior parte dei casi non è necessario rimuovere preventivamente quella già presente.

L’assenza degli aggiornamenti automatici aumenta il rischio

Uno dei punti più delicati riguarda proprio il metodo di distribuzione della patch. 7-Zip non dispone di un meccanismo integrato di aggiornamento automatico, quindi non mostra necessariamente una notifica quando viene pubblicata una correzione di sicurezza.

Questo approccio contribuisce a mantenere il programma leggero e privo di servizi costantemente attivi, ma può lasciare numerose installazioni vulnerabili per mesi o anni. Il problema riguarda soprattutto i computer su cui 7-Zip viene installato una sola volta e poi utilizzato senza controllare periodicamente la disponibilità di nuove versioni.

La situazione è ancora più rilevante negli ambienti aziendali. 7-Zip viene spesso distribuito su molti computer oppure utilizzato attraverso strumenti a riga di comando e librerie integrate in processi automatizzati. Gli amministratori dovrebbero quindi verificare non soltanto le installazioni visibili nel menu Start, ma anche eventuali copie portatili, eseguibili inclusi in applicazioni interne e pacchetti presenti sui server.

Perché gli archivi compressi sono un bersaglio frequente

I programmi di compressione devono interpretare numerosi formati e gestire file provenienti da fonti potenzialmente non affidabili. Un errore nei controlli della memoria può quindi trasformare un normale archivio in un vettore di attacco.

7-Zip è particolarmente interessante per i criminali informatici perché viene usato sia dagli utenti privati sia dalle aziende. Supporta inoltre numerosi formati ed è spesso associato automaticamente ai file compressi, aumentando la probabilità che un archivio ricevuto via e-mail o scaricato dal web venga aperto direttamente con il programma.

Il formato XZ coinvolto nella vulnerabilità utilizza generalmente l’algoritmo di compressione LZMA2 ed è comune soprattutto negli ambienti software e nei pacchetti distribuiti per sistemi Unix-like. Tuttavia, un file malevolo può essere inviato anche a un utente Windows, indipendentemente dall’uso abituale di quel formato.

Come ridurre il rischio oltre all’aggiornamento

L’installazione di 7-Zip 26.02 resta la misura principale. È inoltre consigliabile evitare di aprire archivi ricevuti da mittenti sconosciuti, prestare attenzione ai file allegati a e-mail inattese e non ignorare gli avvisi del browser o dell’antivirus.

Nei contesti aziendali può essere utile limitare i privilegi degli account, bloccare gli allegati sospetti e distribuire l’aggiornamento tramite i normali strumenti di gestione dei dispositivi. Anche l’inventario delle applicazioni installate può aiutare a individuare copie obsolete del software rimaste su computer poco utilizzati.

La vulnerabilità non risulta indicata nell’avviso ZDI come sfruttata attivamente su larga scala. La pubblicazione dei dettagli tecnici, tuttavia, può facilitare lo sviluppo di nuovi exploit, rendendo opportuno aggiornare il programma senza rimandare.