Eine neue 7-Zip Sicherheitslücke zwingt Millionen Windows-Nutzer zum Handeln: Über ein manipuliertes Archiv lässt sich unter Umständen Schadcode ausführen. Das beliebte Packprogramm hat keine automatische Update-Funktion – wer die Lücke schließen will, muss selbst aktiv werden.
Was die 7-Zip Sicherheitslücke CVE-2026-14266 gefährlich macht
Die Schwachstelle trägt die Kennung CVE-2026-14266 und steckt in der Verarbeitung von XZ-komprimierten Daten. Speziell präparierte XZ-Chunk-Daten lösen laut Analyse einen Heap-basierten Pufferüberlauf aus. Im schlimmsten Fall führt ein Angreifer dadurch beliebigen Code im Kontext des laufenden Prozesses aus – also mit den Rechten des Nutzers, der das Archiv öffnet.
Klartext ins Postfach
KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.
Entdeckt und gemeldet wurde der Fehler von Landon Peng (Lunbun LLC). Die technischen Eckdaten stammen aus einem Advisory der Zero Day Initiative (ZDI-26-444), das mit einem CVSS-Wert von 7.0 eingestuft ist. 7-Zip bewertet die Lücke als kritisch, weil sie zu Remote Code Execution führen kann.
Der Angriff braucht eine Nutzeraktion
Eine Entwarnung vorweg: Der Angriff funktioniert nicht vollautomatisch. Das Opfer muss eine manipulierte Datei öffnen oder eine präparierte Webseite besuchen, die 7-Zip zum Entpacken bringt. Genau dieses Muster ist aus Phishing-Kampagnen aber bestens bekannt. Archiv-Lücken in 7-Zip und WinRAR wurden in der Vergangenheit bereits aktiv ausgenutzt – etwa Anfang 2025, als eine 7-Zip-Schwachstelle den Windows-Schutz „Mark of the Web“ umging und von russischen Hackern als Zero-Day missbraucht wurde.
Version 26.02 schließt die Lücke
Der Fix steckt in 7-Zip 26.02. Diese Version erschien bereits am 25. Juni 2026; dass es sich dabei um ein sicherheitsrelevantes Update handelt, wurde jedoch erst mit dem ZDI-Advisory vom 15. Juli öffentlich. BleepingComputer berichtete am 18. Juli darüber. Der Quellcode-Vergleich zeigt: Der Patch ergänzt Prüfungen, damit der Decoder beim Entpacken nicht über den verbleibenden Speicher hinausschreibt.
Wichtig: 7-Zip aktualisiert sich nicht selbst. Die neue Version muss manuell von der offiziellen Seite 7-zip.org geladen werden. In der Praxis lässt sich das Update unter Windows auch über Paketmanager wie winget einspielen. Zum Zeitpunkt der Veröffentlichung (Stand 18. Juli 2026) war noch kein aktiver Missbrauch bekannt – mit einem öffentlichen Proof-of-Concept kann sich das aber schnell ändern.
Das sollten Sie jetzt tun
- Installierte 7-Zip-Version prüfen (Hilfe → Über 7-Zip).
- Auf Version 26.02 oder neuer aktualisieren.
- Archive aus unbekannten Quellen grundsätzlich mit Vorsicht öffnen.
- In Unternehmen die Verteilung über die Softwareverwaltung anstoßen.
Wie fragil die Software-Lieferkette insgesamt ist, zeigte zuletzt auch der Streit um blockierte Install-Skripte bei npm. Ob Paketmanager oder Packprogramm – regelmäßige Updates bleiben die wirksamste Verteidigung.
Quellen
- BleepingComputer: Update now: 7-Zip fixes RCE flaw (18.07.2026)
- Zero Day Initiative: Advisory ZDI-26-444
Diese Analysen als Newsletter
Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.
Jetzt anmelden