7-Zip, el popular software de compresión de archivos, ha corregido una vulnerabilidad grave que permitía a atacantes ejecutar malware simplemente abriendo un archivo malicioso. Esta falla afectaba la rutina de descompresión de datos en formato XZ y podía comprometer sistemas Windows, Linux, macOS y BSD.
Por qué importa: La vulnerabilidad CVE-2026-14266 exponía a millones de usuarios a ataques remotos con ejecución de código, debido a la amplia adopción de 7-Zip y la falta de actualización automática.
Lo esencial
- La falla es un desbordamiento de búfer en la descompresión de datos XZ, que permite ejecutar código remoto.
- Fue reportada en junio y corregida en la versión 26.02 lanzada en julio de 2026.
- 7-Zip no cuenta con mecanismo de actualización automática, por lo que los usuarios deben actualizar manualmente.
Detalles técnicos de la vulnerabilidad CVE-2026-14266
La vulnerabilidad detectada es un desbordamiento de búfer basado en el montón (heap) en la rutina que procesa datos comprimidos en formato XZ. Un archivo especialmente manipulado puede desencadenar este error al ser descomprimido, permitiendo que un atacante ejecute código con los mismos privilegios que el usuario que abre el archivo.
Este fallo puede ser explotado simplemente visitando una página web maliciosa o abriendo un archivo comprimido infectado, lo que lo convierte en un riesgo significativo para usuarios y administradores de sistemas.
Impacto en múltiples plataformas y alcance global
7-Zip es un software multiplataforma que funciona en Windows, Linux, macOS y BSD, lo que amplía el alcance de esta vulnerabilidad más allá del ecosistema Windows tradicional. Su uso extendido tanto en entornos domésticos como empresariales aumenta la importancia de aplicar el parche.
La popularidad de 7-Zip, junto con su naturaleza de código abierto y su uso frecuente en servidores y sistemas automatizados, hace que esta vulnerabilidad sea especialmente crítica.
