圧縮・解凍アプリケーションである7-Zip バージョン26.01以下に、リモートコード実行(Remote Code Execution / RCE)の脆弱性があることが明らかになりました。
Zero Day Initiativeの発表によると、7-Zipにはリモートで任意のコードを実行できる脆弱性があるとのこと。細工されたXZ圧縮データによりヒープバッファオーバーフローが引き起こされる可能性があり、この脆弱性を悪用することで任意のコード実行を可能にするとのこと。
なお、この脆弱性を悪用するには、前提条件としてターゲットとなるユーザーが細工された悪意のあるファイルや悪意のあるWebページを開くことが必要になります。
この脆弱性のCVE IDは『CVE-2026-14266』。CVSS 3.0スコア(最大10点)は7.0で深刻度は『重要』。
CVSSスコアと深刻度
Zero Day Initiativeは2026年6月5日にはこの脆弱性の存在を7-Zip作者であるIgor Pavlov氏に通知しており、2026年6月25日付けでリリースされた7-Zip バージョン26.02ではこの脆弱性がすでに修正されています。
現在、7-Zip バージョン26.01以下をお使いの方は、バージョン26.02(以降)へと早急にアップデートされることを推奨いたします。
7-Zipの最新バージョンは、公式Webサイト『圧縮・解凍ソフト 7-Zip』よりダウンロードができます。