7-Zip 26.02 schließt gefährliche Code-Schmuggel-Lücke

Angreifer können die Lücke nutzen, um in speziell präparierten Archivdateien versteckten Schadcode auszuführen, ohne dass dies den Nutzerinnen und Nutzern auffällt. Voraussetzung ist allerdings eine Nutzerinteraktion – die Datei muss aktiv geöffnet werden. Im Erfolgsfall läuft der Schadcode dann im Kontext des aktuellen Prozesses.

Entdecker der Schwachstelle ist die ZDI. Sie wurde am 5. Juni an den 7-Zip-Entwickler Igor Pavlov gemeldet. Dieser veröffentlichte am 25. Juni mit der Version 26.02 einen Patch. Die ZDI publizierte ihr Advisory am 15. Juli. Die Release-Notes zu 7-Zip 26.02 nennen die Schwachstelle nicht beim Namen, sondern sprechen lediglich davon, dass „einige Fehler und Sicherheitslücken behoben" wurden.

Die Schwachstelle trägt nach Angaben der ZDI die Kennung CVE-2026-14266 und wurde mit einem CVSS-Score von 7,0 bewertet – Einstufung „hoch". Die NVD-Datenbank führt den Eintrag.

Bereits die Vorgängerversion 26.01 vom 27. April hatte eine gefährliche Lücke geschlossen, die sich ebenfalls durch das bloße Öffnen einer speziell präparierten Datei ausnutzen ließ. Nutzerinnen und Nutzern, die noch eine 7-Zip-Version vor dem 26. Januar einsetzen, raten die Sicherheitsforscherinnen und -forscher, umgehend zu aktualisieren.

Zeitplan der Entdeckung und des Patches

Die neue Fassung 26.02 kann aus dem Download-Bereich auf 7-zip.org heruntergeladen werden. Damit steht neben dem Sicherheits-Patch auch eine bereinigte Version des freien Archivierers bereit.

Chrome: Zweites Update binnen einer Woche

Parallel liefen auch beim Chrome-Browser am Mittwoch turnusmäßige Aktualisierungen: „In der Nacht zum Mittwoch hatten Googles Entwickler hingegen 15 Lücken im Browser geschlossen". „Google aktualisiert Chrome eigentlich jeden Mittwoch." Zwei dieser Schwachstellen galten als „kritisches Risiko". Es handelte sich um Use-after-free-Lecks in der Ozone-Komponente.

In der Vorwoche hatten Googles Entwickler insgesamt 27 Schwachstellen in Chrome geschlossen. „Davon galten zwei als kritisch." Auch da gab es keine Hinweise auf aktiven Missbrauch der gefixten Schwachstellen in freier Wildbahn.

Google hat in der Nacht zum Freitag ein ungeplantes Update für den Webbrowser Chrome veröffentlicht. Damit stopfen die Entwickler nun weitere sieben Sicherheitslücken im Webbrowser. Drei davon gelten als „kritisch". Es ist das zweite Update in dieser Woche nach der planmäßigen Aktualisierung zum Mittwoch.

Die am Mittwoch veröffentlichten Chrome-Versionen trugen die Nummern 150.0.7871.124/.125 für macOS und Windows. Die aktualisierten Chrome-Versionen tragen die Nummern 150.0.7871.128/.129 für macOS und Windows.

Bei den drei kritischen Lücken vom Freitag-Update handelt es sich um nicht näher erläuterte Use-after-free-Schwachstellen in den Komponenten CameraCapture (CVE-2026-15899), GPU (CVE-2026-15900) sowie Network (CVE-2026-15901). „CVE-2026-15899, GPU (CVE-2026-15900) sowie Network (CVE-2026-15901)".

Hinweise zur Aktualisierung

Warum das Update außerplanmäßig erfolgt, wird aus der Ankündigung nicht klar. Üblicherweise weist Google in den Versionshinweisen auf aktiv ausgenutzte Lücken hin: „sofern die Lücken von Angreifern im Internet missbraucht werden, schreibt Google das üblicherweise auch in der Versionsankündigung. Das ist hier nicht der Fall."

Da die Schwachstellen die Chromium-Basis betreffen, dürften in Kürze auch darauf basierende Webbrowser Updates ausliefern. Dazu gehört etwa Microsofts Edge. Gleichzeitig hatte Google zudem die ersten 151er-Builds für Android und iOS freigegeben.

Um das Chrome-Update anzuwenden, können Nutzerinnen und Nutzer den Versionsdialog aufrufen. Der verbirgt sich im Browser-Menü unter „Hilfe" – „Über Google Chrome". Unter Linux dient im Regelfall die Softwareverwaltung der Distribution zum Aktualisieren des Webbrowsers.

Sicherheitsexperten empfehlen, sowohl Chrome als auch 7-Zip zeitnah auf den aktuellen Stand zu bringen, da die bekannt gewordenen Lücken ein erhebliches Risiko für die Ausführung von Schadcode bergen.