Kerentanan Baru pada 7-Zip Berpotensi Memungkinkan Arsip XZ yang Dirancang Khusus Menjalankan Kode Saat Proses Ekstraksi

Kerentanan Baru pada 7-Zip Berpotensi Memungkinkan Arsip XZ yang Dirancang Khusus Menjalankan Kode Saat Proses Ekstraksi

Posted by : Admin , Jul 21, 2026
Membuka file arsip XZ yang dibuat khusus melalui 7-Zip dapat memberikan kesempatan bagi penyerang untuk menjalankan kode di komputer target. Masalah ini, yang dikenal sebagai CVE-2026-14266, adalah kelemahan buffer yang melibatkan heap dalam cara aplikasi pengarsip memproses data XZ yang tersegmentasi, dan Zero Day Initiative (ZDI) dari Trend Micro telah memberikan penjelasan detail mengenai hal tersebut pada tanggal 15 Juli. Sebuah pembaruan telah dirilis pada 25 Juni dalam versi 26.02 dari 7-Zip.

Kelemahan buffer ini memberikan kesempatan bagi penyerang untuk "menjalankan kode dalam konteks proses yang sedang berjalan," sesuai dengan pernyataan keamanan yang dirilis. Kode yang dieksekusi beroperasi menggunakan token yang dimiliki oleh 7-Zip dan tidak mendapatkan hak akses tambahan.

Di sistem operasi Windows, 7-Zip yang berjalan secara normal beroperasi dengan menggunakan token pengguna standar yang telah disaring, meskipun pada akun administrator; oleh karena itu, penyerang hanya akan memiliki akses terbatas kecuali aplikasi tersebut dijalankan dengan hak istimewa yang lebih tinggi. Kerentanan ini dilaporkan oleh Landon Peng dari Lunbun LLC, yang menginformasikannya kepada 7-Zip pada tanggal 5 Juni.

ZDI memberikan penilaian terhadap celah ini sebesar 7,0, yang dikategorikan sebagai Tinggi, bukan Kritis seperti yang diperkirakan oleh beberapa sumber. Vektor CVSS 3.0 lengkapnya adalah AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H. Kode AV:L menunjukkan bahwa ini adalah vektor serangan lokal, bukan dari serangan yang dapat dijalankan melalui jaringan atau serangan yang tidak memerlukan interaksi pengguna.

Istilah “eksekusi jarak jauh” menurut ZDI menunjukkan bahwa penyerang dari jarak jauh yang mengirimkan berkas tersebut tetap perlu agar berkas itu dibuka oleh korban, baik berkas tersebut dikirim lewat email, diunduh, atau melalui situs web yang mengarahkan ke 7-Zip. Serangan yang tingkatnya tinggi membuat eksploitasi yang efisien menjadi semakin sulit. Hingga 20 Juli 2026, The Hacker News belum menemukan bukti konsep publik terkait kerentanan ini ataupun laporan terpercaya tentang eksploitasi di dunia nyata.

Sumber : https://thehackernews.com/2026/07/new-7-zip-vulnerability-could-let.html