7-Zip、悪意ある圧縮ファイルでコード実行が可能な脆弱性を修正(CVE-2026-14266)|セキュリティとITのニュース-セキュリティ対策Lab

投稿日時: 2026年07月21日更新日時: 2026年07月21日

人気の圧縮・解凍ソフト「7-Zip」は、悪意ある特別に細工された圧縮ファイルを開かせることでコードを実行できてしまう脆弱性を修正した、バージョン26.02をリリースしました。7-Zipには自動更新機能が備わっていないため、利用者は公式サイトから手動でダウンロード・更新する必要があります。

サマリー

7-Zipはバージョン26.02をリリースし、リモートコード実行につながる脆弱性CVE-2026-14266を修正した。CVSSスコアは7.0(High)
この脆弱性は、研究者Landon Peng氏(Lunbun LLC)によって発見され、2026年6月5日に7-Zip開発元へ報告された。Trend MicroのZero Day Initiative(ZDI)が、協調的な開示プロセスを経てアドバイザリZDI-26-444を2026年7月15日に公開している
原因は、7-ZipがXZ形式で圧縮されたデータを処理する際の、ヒープベースのバッファオーバーフローにある。特別に細工されたXZのチャンクデータによってこの問題が引き起こされ、攻撃者が任意のコードを実行できる可能性がある
開発元は脆弱性の技術的な詳細を公表していないが、バージョン26.02のソースコードの変更内容から、XZデータの展開時に利用可能な残り容量を追跡する処理に関連するとみられる。パッチでは、デコーダーが出力バッファの残り容量を超えて書き込むことがないようにするチェックが追加されている
悪用にはユーザー操作が必要とされ、悪意あるページへのアクセスや悪意ある圧縮ファイルを開かせることが前提となる
7-Zipには自動更新機能が備わっていないため、利用者はセキュリティ修正を自動的には受け取れず、公式サイト(7-zip.org)から最新版を手動でダウンロード・インストールする必要がある
本稿執筆時点で、この脆弱性が実際に悪用されているという報告はないが、7-Zipは幅広く使われている圧縮ツールであるため、フィッシングやソーシャルエンジニアリングを通じて悪意ある圧縮ファイルが配布され悪用されるリスクは現実的である

項目	内容
修正バージョン	7-Zip 26.02
脆弱性ID	CVE-2026-14266(ZDI-26-444)
CVSSスコア	7.0(High)
脆弱性の種類	ヒープベースのバッファオーバーフロー
原因となる処理	XZ形式の圧縮データ(チャンクデータ)の処理
発見者	Landon Peng氏(Lunbun LLC)
開発元への報告日	2026年6月5日
アドバイザリ公開日	2026年7月15日(ZDI)
悪用条件	ユーザー操作が必要(悪意あるページ訪問または悪意あるファイルを開く)
自動更新機能	なし(手動更新が必須)
実際の悪用の有無	本稿執筆時点で報告なし

1 何が起きたか
2 自動更新機能がないという運用上の注意点
3 情報システム部門への示唆
4 出典

何が起きたか

今回修正された脆弱性は、7-ZipがXZ形式で圧縮されたデータを処理する過程に存在する、ヒープベースのバッファオーバーフローです。Zero Day Initiativeのアドバイザリによれば、特別に細工されたXZのチャンクデータによってヒープ上に確保されたバッファの境界を超える書き込みが発生し、攻撃者が現在のプロセスのコンテキストでコードを実行できる可能性があるとされています。

この脆弱性は、研究者Landon Peng氏(Lunbun LLC)によって発見され、2026年6月5日に7-Zip開発元へ報告されました。協調的な開示プロセスを経て、Trend MicroのZero Day Initiativeが2026年7月15日にアドバイザリ(ZDI-26-444)を公開しています。開発元は脆弱性の技術的な詳細については公表していませんが、修正版であるバージョン26.02のソースコードの変更内容から、XZデータを展開する際に利用可能な残り容量を追跡する処理に関連する問題であるとみられています。今回のパッチでは、デコーダーが出力バッファに割り当てられた残り容量を超えて書き込むことがないよう、チェック処理が追加されています。

なお、この脆弱性の悪用には、悪意あるページを訪問する、または悪意ある圧縮ファイルを開くといった、被害者側のユーザー操作が前提条件として必要とされています。

自動更新機能がないという運用上の注意点

7-Zipには自動更新機能が備わっていません。そのため、今回のようなセキュリティ修正であっても、利用者に自動的に配信されることはなく、7-Zip公式サイト(7-zip.org)から最新版を手動でダウンロード・インストールする必要があります。7-ZipはWindows上で最も広く使われている圧縮ツールの一つであるため、そのアーカイブ処理機能に影響する脆弱性は、攻撃者にとって魅力的な標的になりやすいとされています。フィッシングメールやソーシャルエンジニアリングを通じて、この脆弱性を悪用する細工済みの圧縮ファイルが配布され、脆弱なシステムにマルウエアがインストールされるという攻撃シナリオは、決して非現実的なものではありません。

実際、圧縮・解凍ソフトの脆弱性が過去の攻撃で悪用された例は少なくありません。2025年初頭には、7-ZipのWindows「Mark of the Web(MotW)」機能をバイパスする脆弱性が、ロシア系ハッカーによってウクライナに対するゼロデイ攻撃で悪用されたことが確認されています。同年後半には、当サイトでも既報の通りWinRARの脆弱性(CVE-2025-8088)がハッキンググループによってフィッシング攻撃を通じて悪用され、マルウエアの配布に利用された事例もありました。今回のCVE-2026-14266について、本稿執筆時点で攻撃者による実際の悪用は確認されていませんが、こうした過去の前例を踏まえると、利用者にはバージョン26.02への更新をできるだけ早く行うことが推奨されています。

なお、7-Zipを巡っては2026年に入ってからも複数の脆弱性が報告されています。2026年4月には、NTFSアーカイブハンドラーにおけるヒープバッファの書き込みオーバーフロー(CVE-2026-48095、GHSL-2026-140)がバージョン26.01で修正されており、今回のCVE-2026-14266を含めると、比較的短期間のうちに深刻なメモリ破損系の脆弱性が繰り返し報告されている状況がうかがえます。

情報システム部門への示唆

自組織で7-Zipを利用している場合、まず現在のバージョンを確認し、26.02より前のバージョンであれば速やかに公式サイトから最新版をダウンロードして更新してください。自動更新機能がないという7-Zipの特性上、組織内に多数の端末で7-Zipを利用している場合は、個々の利用者の手動更新に任せるのではなく、資産管理ツールやソフトウエア配布システムを通じて、組織全体のバージョン状況を把握し一括で更新を展開する仕組みを整えておくことをお勧めします。

あわせて、悪用にはユーザー操作(悪意あるファイルを開くこと)が前提条件になっている点を踏まえ、メールの添付ファイルやダウンロードした圧縮ファイルを開く際には、送信元・入手経路の信頼性を確認する習慣を、従業員向けのセキュリティ教育に引き続き盛り込むことが重要です。圧縮・解凍ソフトは業務上ほぼ全ての従業員が日常的に利用するツールであるため、この種の脆弱性は組織全体にとって見過ごせないリスクとなります。今回のように短期間で複数のメモリ破損系脆弱性が報告される状況を踏まえ、7-Zipに限らず、組織内で広く使われているユーティリティソフトウエアのバージョン管理・パッチ適用状況を、定期的な棚卸しの対象に含めておくことをお勧めします。