Zero Day Initiative (ZDI) vừa công bố lỗ hổng CVE-2026-14266 trên 7-Zip, phần mềm nén và giải nén tệp miễn phí được sử dụng phổ biến trên Windows.
Lỗ hổng được đánh giá ở mức 7,0/10 và có thể dẫn đến thực thi mã từ xa. Tuy nhiên, kẻ tấn công không thể tự động xâm nhập máy tính chỉ vì thiết bị đã cài 7-Zip. Người dùng phải truy cập một trang chứa nội dung độc hại hoặc mở tệp được chuẩn bị đặc biệt thì cuộc tấn công mới có thể diễn ra.
Tệp XZ độc hại có thể làm tràn bộ nhớ
Theo thông báo của Zero Day Initiative, vấn đề nằm trong quá trình 7-Zip xử lý dữ liệu nén XZ theo từng khối.
Tệp XZ được tạo với cấu trúc đặc biệt có thể gây tràn bộ đệm trên vùng nhớ heap. Khi dữ liệu vượt khỏi phần bộ nhớ được cấp phát, nó có thể ghi đè lên khu vực lân cận và làm thay đổi hoạt động của chương trình.
Tin tặc có thể lợi dụng lỗi này để chạy mã trong phạm vi quyền hạn của tiến trình 7-Zip hiện tại. Nếu khai thác thành công, mã độc có thể thực hiện các hành động tương ứng với quyền của tài khoản đang sử dụng máy tính.
Rủi ro đáng chú ý nằm ở chỗ người dùng thường xem việc giải nén tệp là thao tác tương đối an toàn. Trong trường hợp này, bản thân quá trình xử lý một tệp XZ đã bị cài bẫy có thể kích hoạt lỗ hổng trước khi người dùng nhận ra bên trong chứa nội dung bất thường.
Lỗ hổng được nhà nghiên cứu Landon Peng báo cáo cho nhà phát triển ngày 5/6 và được ZDI công bố ngày 15/7.
Bản vá đã có nhưng người dùng phải tự cài đặt
7-Zip đã khắc phục vấn đề trên phiên bản 26.02, phát hành ngày 25/6. Lịch sử cập nhật chính thức chỉ cho biết phiên bản này sửa một số lỗi và lỗ hổng mà không công bố chi tiết kỹ thuật, nhằm hạn chế nguy cơ bị khai thác trước khi người dùng kịp cập nhật. 7-Zip xác nhận bản 26.02 đã sửa các lỗ hổng.
Vấn đề là 7-Zip không tích hợp cơ chế tự tải và cài đặt phiên bản mới. Phần mềm cũng không chủ động kết nối Internet để kiểm tra cập nhật, vì vậy nhiều máy tính có thể tiếp tục sử dụng bản cũ dù bản vá đã được phát hành.
Người dùng có thể mở 7-Zip File Manager, chọn Help > About 7-Zip để kiểm tra phiên bản. Nếu đang dùng bản thấp hơn 26.02, nên tải trình cài đặt mới nhất trực tiếp từ trang tải xuống chính thức của 7-Zip.
Phần lớn máy tính Windows hiện nay sử dụng bản 64-bit x64. Những thiết bị chạy Windows trên nền tảng ARM cần chọn trình cài đặt ARM64 tương ứng.
Trong thời gian chưa cập nhật, người dùng nên tránh mở hoặc giải nén tệp XZ đến từ email, đường dẫn và nguồn tải xuống không đáng tin cậy. Việc quét tệp bằng phần mềm bảo mật trước khi mở cũng giúp giảm rủi ro, nhưng không thể thay thế việc cài đặt bản vá.
7-Zip không phải phần mềm nén duy nhất từng gặp lỗi tương tự. WinRAR cũng đã nhiều lần phải vá các lỗ hổng liên quan đến tệp nén độc hại. Do các công cụ này thường được cài đặt lâu dài và ít được người dùng kiểm tra phiên bản, những máy chưa cập nhật vẫn có thể trở thành mục tiêu ngay cả khi bản sửa lỗi đã xuất hiện.
