7-Zip : une archive XZ piégée peut permettre l’exécution de code

Une nouvelle vulnérabilité affectant 7-Zip peut permettre à un attaquant d’exécuter du code après l’ouverture d’une archive spécialement conçue. Référencée sous le numéro CVE-2026-14266 et évaluée à 7,0 sur 10, la faille a été corrigée dans 7-Zip 26.02. Une mise à jour plutôt recommandée pour un logiciel que beaucoup d’utilisateurs installent une fois avant de l’oublier pendant quinze ans.

7-Zip fait partie de ces petits logiciels que l’on considère presque comme un composant natif de Windows. On l’installe pour ouvrir une archive récalcitrante, on décoche éventuellement deux cases dans le menu contextuel, puis on cesse complètement de s’en préoccuper.

Problème : même les utilitaires discrets peuvent cacher des vulnérabilités beaucoup moins discrètes.

La Zero Day Initiative a publié le 15 juillet 2026 les détails de CVE-2026-14266, une faille affectant la décompression de données au format XZ. Son exploitation peut conduire à l’exécution de code arbitraire avec les droits du processus 7-Zip en cours. Elle reçoit un score CVSS de 7,0 sur 10, correspondant à une sévérité élevée.

Le problème vient du traitement des données XZ

La vulnérabilité se trouve plus précisément dans le traitement des données XZ découpées en blocs.

Une archive spécialement fabriquée peut provoquer un dépassement de tampon dans le tas, ou heap-based buffer overflow. En termes moins indigestes, 7-Zip peut être amené à écrire davantage de données que l’espace mémoire qui lui a été réservé.

Lorsqu’un attaquant parvient à contrôler ce débordement, il peut potentiellement détourner le fonctionnement du programme et lui faire exécuter ses propres instructions. Dans ce cas, le code malveillant s’exécute dans le contexte du processus actuel.

Si l’utilisateur lance normalement 7-Zip, l’attaquant récupère donc en principe les droits de cet utilisateur. Si le logiciel est exécuté avec des privilèges d’administrateur, les conséquences peuvent évidemment être beaucoup plus importantes.

Nouvelle occasion de rappeler qu’il n’existe pratiquement aucune bonne raison de décompresser le fichier facture_importante_juillet_2026.tar.xz reçu par e-mail en lançant 7-Zip comme administrateur.

La faille ne concerne pas uniquement les fichiers .7z

Le nom du logiciel peut prêter à confusion : cette vulnérabilité ne nécessite pas forcément une archive portant l’extension .7z.

Le problème affecte le décodage du format XZ, fréquemment rencontré dans des fichiers .xz et .tar.xz. Ce format est notamment utilisé pour distribuer des logiciels, compresser des sauvegardes ou empaqueter des fichiers sous Linux et dans certains environnements de développement.

Une personne utilisant 7-Zip uniquement pour ouvrir des archives ZIP pourrait donc penser ne pas être concernée. Mais dès lors que le logiciel traite une archive XZ piégée, le composant vulnérable peut entrer en jeu. La documentation du LZMA SDK confirme que le code de 7-Zip prend en charge la compression et la décompression XZ.

Il faut tout de même convaincre la victime d’ouvrir le fichier

CVE-2026-14266 ne permet pas à un inconnu de prendre spontanément le contrôle de n’importe quel ordinateur simplement parce que 7-Zip y est installé.

Une interaction est nécessaire. Selon l’avis de la Zero Day Initiative, la victime doit ouvrir un fichier malveillant ou visiter une page conduisant le système à traiter le contenu piégé. La complexité de l’attaque est également considérée comme élevée dans son vecteur CVSS.

Cela réduit la facilité d’exploitation, mais certainement pas l’intérêt de la vulnérabilité.

Les archives constituent depuis longtemps un excellent moyen de distribuer des logiciels malveillants. Elles peuvent être jointes à un e-mail, placées derrière un faux téléchargement, partagées sur une messagerie ou présentées comme un crack, un mod, un document professionnel ou un outil gratuit.

Et comme les utilisateurs s’attendent précisément à ce qu’une archive doive être ouverte et extraite, la partie « interaction nécessaire » n’est pas forcément un obstacle insurmontable.

7-Zip 26.02 corrige le problème

La vulnérabilité a été signalée à l’éditeur le 5 juin 2026. Elle a été corrigée dans 7-Zip 26.02, publié le 25 juin, avant la divulgation publique coordonnée du 15 juillet.

Les notes de version officielles restent particulièrement sobres et indiquent seulement que plusieurs bugs et vulnérabilités ont été corrigés. Le bulletin de la Zero Day Initiative confirme toutefois explicitement que CVE-2026-14266 est corrigée à partir de la version 26.02.

Pour connaître la version installée sous Windows, il suffit d’ouvrir le gestionnaire de fichiers 7-Zip, puis de sélectionner Aide > À propos de 7-Zip.

Une installation affichant une version antérieure à 26.02 doit être mise à jour. La version 26.02 est proposée officiellement pour Windows x64, x86 et ARM64, ainsi qu’en version console pour Linux et macOS.

En entreprise, la vérification ne doit pas uniquement concerner l’application graphique. Des exécutables comme 7z.exe, des DLL ou des composants issus du LZMA SDK peuvent être intégrés à des scripts, des outils de sauvegarde et des logiciels internes.

Le petit programme portable copié dans un dossier réseau en 2017 compte donc lui aussi.

Une seconde faille brouille légèrement le message

La situation se complique avec une autre vulnérabilité récemment publiée : CVE-2026-58052.

Celle-ci concerne 7-Zip sous Windows et la conservation du Mark-of-the-Web lors de l’extraction d’une archive RAR5 spécialement conçue.

Le Mark-of-the-Web est un marqueur ajouté par Windows aux fichiers provenant d’Internet. Il permet notamment au système et à SmartScreen d’appliquer des avertissements ou des contrôles supplémentaires lorsque l’utilisateur tente d’ouvrir un fichier potentiellement dangereux.

Dans le scénario décrit, une archive RAR5 peut employer des flux de données NTFS spécialement nommés afin d’écraser le marqueur transmis au fichier extrait. Un second flux peut également remplacer son contenu principal. L’attaquant pourrait ainsi réduire l’efficacité des avertissements de Windows et présenter un fichier différent de celui attendu.

La version 26.02 est-elle concernée par ce contournement ?

C’est là que les choses deviennent un peu confuses.

La description actuelle du dossier CVE indique que les versions allant jusqu’à 7-Zip 26.01 sont concernées. Mais l’analyse affichée sur la même page du NVD mentionne encore les versions allant jusqu’à 26.02. Son historique montre que la portée a été modifiée le 14 juillet pour remplacer 26.02 par 26.01 dans l’enregistrement principal.

Une demande de clarification consacrée à CVE-2026-58052 est toujours ouverte sur le dépôt GitHub officiel de 7-Zip au moment de la publication.

Il serait donc excessif d’affirmer catégoriquement que 7-Zip 26.02 reste vulnérable. Mais il serait tout aussi imprudent de présenter la situation comme parfaitement clarifiée.

La mise à jour vers 26.02 demeure indispensable pour corriger CVE-2026-14266. En attendant une réponse plus précise sur CVE-2026-58052, il reste préférable de ne pas se fier uniquement à SmartScreen pour déterminer si le contenu extrait d’une archive RAR5 est digne de confiance.

Ce qu’il faut faire maintenant

La priorité est simple : installer 7-Zip 26.02 ou une version ultérieure dès qu’elle devient disponible. Cette version corrige officiellement la vulnérabilité XZ permettant l’exécution de code.

Il convient également de rester prudent avec les archives provenant de sources inconnues, même lorsqu’elles semblent ne contenir qu’un document, une image ou un programme attendu. Leur contenu peut être analysé avec une solution de sécurité ou ouvert dans un environnement isolé lorsqu’un doute existe.

Enfin, évitez d’exécuter 7-Zip avec des droits administrateur. Une vulnérabilité exploitée dans un programme standard est déjà problématique. La même vulnérabilité accompagnée des pleins pouvoirs sur la machine devient immédiatement beaucoup plus intéressante pour l’attaquant.

Le logiciel invisible que personne ne pense à mettre à jour

Cette affaire illustre surtout un problème récurrent : les logiciels utilitaires sont rarement considérés comme des composants sensibles.

Les navigateurs, systèmes d’exploitation et antivirus se mettent régulièrement à jour et rappellent bruyamment leur existence. Les outils de compression, lecteurs multimédias, visionneuses de documents et programmes portables peuvent au contraire rester installés pendant des années sans que personne ne vérifie leur version.

Or ces logiciels manipulent précisément des contenus provenant de l’extérieur : archives téléchargées, pièces jointes, images, vidéos et documents.

Ils constituent donc des cibles particulièrement intéressantes.

7-Zip reste un excellent outil, libre, léger et efficace. Mais « libre et léger » ne signifie pas « immunisé contre les dépassements de tampon ».

Si votre version date d’une époque où Windows 10 était encore présenté comme le dernier Windows, il est probablement temps de cliquer sur Mise à jour.