7-Zipに存在するCVE-2026-14266脆弱性は、XZアーカイブの処理中に発生するヒープベースのバッファオーバーフローによって引き起こされる。この不具合により、攻撃者が特別に作成したXZアーカイブをユーザーが開くと、7-Zipプロセス内でコードを実行できるようになる。ただし、この操作は7-Zipの現在の権限範囲内に制限され、たとえばWindowsで標準ユーザー権限で動作する7-Zipは管理者権限を取得できない。

この脆弱性は6月5日にLunbun LLCのLandon Pengによって報告され、6月25日に7-Zip 26.02で修正された。ZDIはこの脆弱性を「7.0（高）」と評価しており、一部のニュースサイトが「重大」と分類したのとはより保守的な評価である。この脆弱性の悪用にはユーザーの操作が必要であり、ネットワークを介したリモートアクセスは不可能である。2026年7月20日現在、この脆弱性に対する公開された攻撃コードや実世界での悪用事例は報告されていない。

修正コードはC/XzDec.cファイル内のMixCoder_Code関数に含まれる。以前のバージョンでは、バッファに書き込む総データ量が正しく計算されていなかった。26.02版はこのエラーを修正し、バッファ境界を超える書き込みを防いでいる。この不具合は少なくとも21.07版から存在していたが、どのバージョンで悪用可能かは明確に示されていない。7-Zipユーザーは、26.02以降のバージョンを手動でインストールする必要がある。