無償の圧縮・解凍ソフトとして世界中で使われる「7-Zip」に、細工されたXZ形式の圧縮データを開かせることで任意のコード実行につながりうる脆弱性が見つかった。CVE番号は「CVE-2026-14266」。開発元は2026年6月25日公開の「7-Zip 26.02」で既に修正しており、Trend Microの脆弱性発見プログラム「Zero Day Initiative（ZDI）」が7月15日（米国時間）にアドバイザリ「ZDI-26-444」を公開して詳細を明らかにした。深刻度は10点満点で7.0（High）と評価されている。現時点で悪用の確認報告はないものの、7-Zipが自動更新の仕組みを持たないため、手動での更新が呼びかけられている。
何が起きるのか ― XZチャンクデータの処理不備
ZDIのアドバイザリによれば、脆弱性はXZ形式の「チャンクデータ」（大きなデータを扱いやすいよう小分けにしたブロック）を処理する部分に存在する。細工されたXZ圧縮データを処理させると、ヒープ領域に確保したバッファの境界を越えて書き込みが発生し、メモリ破壊（ヒープベースのバッファオーバーフロー）を引き起こす可能性がある。ZDIはこの状態について、攻撃者は「現在のプロセスのコンテキストでコードを実行できる（execute code in the context of the current process）」と説明している。
悪用には利用者の操作が前提となる。ZDIは「攻撃を成立させるには、標的が悪意のあるページを訪れるか、悪意のあるファイルを開く必要がある」としており、メールの添付ファイルやダウンロードなどを通じて細工ファイルを開かせる、いわゆる受動的攻撃の形をとる。
深刻度は「High」、実際の攻撃条件は限定的
CVSS 3.0の基本値は7.0で、区分は「High」。ベクトル文字列は「AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H」となっている。ここで注目すべきは攻撃元区分が「ローカル（AV:L）」で、攻撃の複雑さが「高（AC:H）」、そして利用者の操作が必要（UI:R）とされている点だ。つまりネットワーク越しにワンクリックも不要で攻撃が成立するタイプではなく、あくまで細工ファイルを開かせる必要がある。ZDIが用いる「リモートコード実行」という表現は、攻撃者が遠隔からファイルを送り込み、それを被害者が開くという経路を指すものと報じられている。
また、実行されるコードは7-Zipそのものが持つ権限の範囲にとどまる。報道によると、Windowsでは管理者アカウントであっても通常起動した7-Zipは制限付きの標準ユーザートークンで動作するため、7-Zipを明示的に昇格実行していない限り、攻撃者が得るのは限定的な権限だという（この点については一次アドバイザリに直接の記載はなく、技術メディアの分析による）。
修正の中身 ― 書き込み済みバイト数の見落とし
技術メディアがリリース間のソースコードを比較したところによると、修正は解凍処理を担う「C/XzDec.c」内の「MixCoder_Code」という関数1か所に入った。XZストリームの出力をフィルターに通す際、デコーダーには本来「これまでに書き込んだ分を差し引いた残り容量」が渡されるべきところ、毎回「出力バッファ全体の長さ」が渡されていた。その結果、バッファが実際に保持できる以上の書き込み余地があるものとして扱われ、境界外書き込みの条件が生じていたとされる。26.02では、書き込み済みのバイト数を差し引き、累計がバッファを超える場合は処理を中断するよう修正された。なお同メディアは、この不適切な長さ処理が少なくとも2021年の21.07まで遡って存在していたと指摘しているが、どのバージョンが実際に悪用可能かはZDI・7-Zipのいずれも明言していない（未確認）。
開示の経緯
一連の流れは、協調的な脆弱性開示（Coordinated Disclosure）の手順に沿って進んだ。ZDIのタイムラインによれば、脆弱性は2026年6月5日にベンダーへ報告され、修正版の7-Zip 26.02は6月25日にリリース、そして開発者とZDIが歩調を合わせたうえで7月15日にアドバイザリが公開された。発見者としてクレジットされているのは、Lunbun LLCのLandon Peng氏である。パッチ提供がアドバイザリ公開より20日早かったため、6月下旬に更新していた利用者は詳細が公になる前に保護されていたことになる。
相次ぐ7-Zipのメモリ安全性の問題
CVE-2026-14266は、7-Zipのアーカイブ処理をめぐる一連のメモリ安全性の不具合の最新事例でもある。報道によると、2026年6月には、より高いスコア（CVSS 3.1で8.8とされる）が付いたNTFSハンドラの脆弱性「CVE-2026-48095」が話題となり、こちらは実証コード（PoC）を伴う形で公表されていた。7-Zip 26.02はこうした修正をまとめて取り込んでおり、1回の更新でこれら一連の問題に対処できる。
今すぐ確認すべきこと ― 「入れっぱなし」が最大のリスク
この脆弱性で最も現実的なリスクは、7-Zipに自動更新機能がないという運用面にある。多くの利用者は一度インストールしたまま長期間バージョンを更新しておらず、「設定して忘れる（set-and-forget）」状態の端末は自力ではパッチを取り込めない。外部から届いた圧縮ファイルを開く可能性があるすべての端末で、7-Zipを公式サイトから26.02以降へ手動更新することが対策の基本となる。あわせて、素性の分からない圧縮ファイルを不用意に開かないという基本動作の徹底も、利用者操作を前提とするこの種の脆弱性には有効だ。
企業にとってはもう一つ見落とせない論点がある。7-ZipはさまざまなソフトウェアやワークフローにXZデコーダーごと組み込まれている場合があり、そうした製品は各ベンダーによる個別の修正が必要になる。自組織の資産棚卸しで、単体アプリとしての7-Zipだけでなく、内部に7-Zip由来のコンポーネントを抱える製品まで視野に入れて点検しておきたい。現時点（2026年7月20日時点）で公開されたPoCや実際の悪用の確たる報告はないと報じられているが、技術的詳細が公になった以上、今後の悪用可能性を見据えて早めの更新が望ましい。