Vulnerabilidade CVE-2026-14266 explora arquivos XZ maliciosos e já tem correção disponível na versão 26.02 do programa.
Uma vulnerabilidade de alta gravidade encontrada no 7-Zip, um dos programas de compactação de arquivos mais usados do mundo, colocou milhões de computadores em risco nas últimas semanas. Identificada como CVE-2026-14266, a falha permite que cibercriminosos executem código malicioso apenas quando a vítima abre um arquivo especialmente manipulado, sem precisar instalar nada suspeito ou clicar em links estranhos. Para quem usa o 7-Zip no dia a dia, seja em casa ou no trabalho, a dúvida mais importante é direta: meu computador está vulnerável e o que preciso fazer para me proteger? A boa notícia é que já existe correção disponível, mas entender como o ataque funciona ajuda a evitar cair nele.
O que é a vulnerabilidade CVE-2026-14266
A falha foi descoberta pelo pesquisador de segurança Landon Peng, da empresa Lunbun LLC, e detalhada pela Zero Day Initiative, da Trend Micro, em 15 de julho. O problema está relacionado à forma como o 7-Zip processa dados compactados no formato XZ: um arquivo criado propositalmente de forma maliciosa faz com que o programa receba um volume de dados maior do que o esperado, gerando o que a área de segurança chama de “buffer overflow baseado em heap”. Na prática, esse excesso de dados invade espaços de memória que não deveriam ser acessados, corrompendo o funcionamento do programa e abrindo espaço para que comandos maliciosos sejam executados. Fonte: TecMundo.
Segundo o site especializado The Hacker News, o código malicioso passa a rodar com as mesmas permissões que o próprio 7-Zip já possui no sistema. Isso significa que, em uma conta de administrador no Windows, o programa normalmente funciona com um token de usuário padrão, mais limitado, o que reduz um pouco o alcance do ataque, mas não elimina o risco. A correção definitiva chegou na versão 26.02 do 7-Zip, lançada em 25 de junho, quase três semanas antes da divulgação pública dos detalhes técnicos da falha, o que deu tempo para quem já havia atualizado o programa ficar protegido antes mesmo do problema se tornar conhecido. Fonte: The Hacker News.
Como o ataque funciona na prática
Diferente de falhas que podem ser exploradas remotamente sem qualquer ação da vítima, a CVE-2026-14266 exige que o usuário faça algo, como abrir um arquivo compactado malicioso ou baixar e extrair um arquivo comprometido da internet. É justamente aí que entra a engenharia social: segundo levantamentos do setor de segurança, esse tipo de ataque costuma começar com e-mails de phishing, em que a vítima recebe uma mensagem urgente pedindo para baixar um arquivo compactado disfarçado de extrato bancário, boleto ou proposta de emprego. Como o 7-Zip é um software comum e usado no dia a dia por milhões de pessoas, ele acaba passando despercebido como possível porta de entrada para malware.
O ponto que mais preocupa especialistas é justamente essa simplicidade. O usuário não precisa executar um programa desconhecido nem seguir passos complexos: basta abrir o arquivo compactado errado para que o ataque seja disparado. A partir daí, o invasor pode assumir controle parcial da máquina, executar códigos arbitrários e, em casos mais graves, usar essa brecha como porta de entrada para ameaças mais elaboradas, incluindo ransomware. Vale lembrar que essa não é a primeira falha séria encontrada no 7-Zip neste ano: em abril, a versão 26.01 já havia corrigido outra vulnerabilidade de memória, a CVE-2026-48095, relacionada ao processamento de imagens de disco NTFS, o que reforça a importância de manter o programa sempre atualizado.
Como se proteger e atualizar o 7-Zip
A recomendação da própria desenvolvedora do 7-Zip e de especialistas em segurança é simples: atualizar o programa para a versão 26.02 ou superior o quanto antes. Diferente de outros softwares que se atualizam sozinhos em segundo plano, o 7-Zip depende de instalação manual feita pelo próprio usuário a partir do site oficial, o que significa que máquinas configuradas há muito tempo, sem manutenção regular, provavelmente continuam vulneráveis até que alguém baixe e instale a nova versão manualmente. Empresas que usam o 7-Zip em pipelines de backup, sistemas de CI/CD ou como biblioteca interna de outros softwares também precisam verificar se esses produtos dependem da versão vulnerável e buscar atualização específica junto aos fornecedores.
Além de atualizar o programa, a orientação de sempre segue valendo: evitar abrir arquivos compactados enviados por remetentes desconhecidos, mesmo quando parecem inofensivos ou usam extensões comuns, como .zip ou .rar. Manter o antivírus atualizado e desconfiar de e-mails urgentes pedindo o download de anexos compactados também ajuda a reduzir o risco, já que boa parte dos ataques que exploram esse tipo de falha depende justamente de convencer a vítima a abrir o arquivo errado. Como a correção já está disponível há algumas semanas, quem atualizar agora o 7-Zip praticamente elimina o risco relacionado a essa vulnerabilidade específica, o que reforça a importância de não deixar esse tipo de atualização para depois.
