7-Zip 26.02 chiude una pericolosa falla di code smuggling

Gli aggressori possono sfruttare la falla per eseguire codice dannoso nascosto in file archivio appositamente predisposti, senza che ciò venga notato dalle utilizzatrici e dagli utilizzatori. Tuttavia, è necessaria un'interazione dell'utente: il file deve essere aperto attivamente. In caso di successo, il codice dannoso viene quindi eseguito nel contesto del processo corrente.

La vulnerabilità è stata scoperta dalla ZDI. È stata segnalata il 5 giugno allo sviluppatore di 7-Zip Igor Pavlov. Questi ha pubblicato una patch il 25 giugno con la versione 26.02. La ZDI ha pubblicato il suo advisory il 15 luglio. Le release notes di 7-Zip 26.02 non citano la vulnerabilità con il suo nome, ma si limitano ad affermare che sono stati corretti „einige Fehler und Sicherheitslücken".

Secondo le informazioni fornite dalla ZDI, la vulnerabilità è identificata con il codice CVE-2026-14266 ed è stata valutata con un punteggio CVSS di 7,0, classificazione „hoch". Il database NVD contiene la voce.

Già la versione precedente 26.01 del 27 aprile aveva chiuso una pericolosa falla, sfruttabile anch'essa semplicemente aprendo un file appositamente predisposto. Alle utilizzatrici e agli utilizzatori che impiegano ancora una versione di 7-Zip antecedente al 26 gennaio, le ricercatrici e i ricercatori di sicurezza consigliano di aggiornare immediatamente.

Cronologia della scoperta e della patch

La nuova versione 26.02 può essere scaricata dall'area download su 7-zip.org. È così disponibile, oltre alla patch di sicurezza, anche una versione corretta del gratuito archiver.

Chrome: secondo aggiornamento in una settimana

In parallelo, anche per il browser Chrome sono stati rilasciati mercoledì gli aggiornamenti periodici: „In der Nacht zum Mittwoch hatten Googles Entwickler hingegen 15 Lücken im Browser geschlossen". „Google aktualisiert Chrome eigentlich jeden Mittwoch." Due di queste vulnerabilità erano classificate come „kritisches Risiko". Si trattava di falle use-after-free nel componente Ozone.

La settimana precedente, gli sviluppatori di Google avevano chiuso complessivamente 27 vulnerabilità in Chrome. „Davon galten zwei als kritisch." Anche in quel caso non c'erano indicazioni di un uso attivo delle falle corrette in libertà.

Google ha pubblicato nella notte di venerdì un aggiornamento non pianificato per il browser web Chrome. Con questo, gli sviluppatori chiudono ora altre sette vulnerabilità di sicurezza nel browser web. Tre di queste sono classificate come „kritisch". È il secondo aggiornamento in questa settimana dopo l'aggiornamento programmato di mercoledì.

Le versioni di Chrome pubblicate mercoledì recavano i numeri 150.0.7871.124/.125 per macOS e Windows. Le versioni aggiornate di Chrome recano i numeri 150.0.7871.128/.129 per macOS e Windows.

Per quanto riguarda le tre falle critiche dell'aggiornamento di venerdì, si tratta di vulnerabilità use-after-free non ulteriormente dettagliate nei componenti CameraCapture (CVE-2026-15899), GPU (CVE-2026-15900) e Network (CVE-2026-15901). „CVE-2026-15899, GPU (CVE-2026-15900) sowie Network (CVE-2026-15901)".

Note sull'aggiornamento

Perché l'aggiornamento sia avvenuto fuori programma non emerge chiaramente dall'annuncio. Di norma Google indica nelle note di rilascio le falle attivamente sfruttate: „sofern die Lücken von Angreifern im Internet missbraucht werden, schreibt Google das üblicherweise auch in der Versionsankündigung. Das ist hier nicht der Fall."

Poiché le vulnerabilità riguardano la base Chromium, è probabile che a breve anche i browser basati su di essa distribuiranno aggiornamenti. Tra questi figura, ad esempio, Microsoft Edge. Contemporaneamente, Google ha inoltre rilasciato le prime build 151 per Android e iOS.

Per applicare l'aggiornamento di Chrome, le utilizzatrici e gli utilizzatori possono aprire la finestra di dialogo delle versioni. È nascosta nel menu del browser alla voce „Hilfe" – „Über Google Chrome". Su Linux, di norma l'aggiornamento del browser web viene effettuato tramite la gestione software della distribuzione.

Gli esperti di sicurezza raccomandano di aggiornare tempestivamente sia Chrome sia 7-Zip, poiché le falle rese note comportano un rischio significativo per l'esecuzione di codice dannoso.