Kerentanan Baru 7-Zip Bisa Jalankan Kode dari Arsip XZ Palsu saat Ekstraksi

Kerentanan baru pada 7-Zip ditemukan yang memungkinkan penyerang menjalankan kode berbahaya saat pengguna membuka arsip XZ yang telah dimanipulasi. Kerentanan ini tercatat sebagai CVE-2026-14266, yakni overflow heap pada modul dekoder XZ di aplikasi 7-Zip, yang diungkap oleh Trend Micro Zero Day Initiative (ZDI) pada 15 Juli 2026. Perbaikan untuk masalah ini telah dirilis pada 25 Juni 2026 melalui pembaruan 7-Zip versi 26.02.

Detail Kerentanan dan Risiko Eksekusi Kode

Kerentanan ini terjadi akibat cara 7-Zip memproses data chunked pada arsip XZ yang memungkinkan terjadinya buffer overflow di heap. Akibatnya, penyerang dapat mengeksekusi kode dalam konteks proses 7-Zip, meskipun kode tersebut tidak memperoleh hak istimewa tambahan.

"Kode berbahaya akan berjalan dengan token yang dimiliki 7-Zip, tanpa memperoleh hak istimewa baru," jelas advisory resmi.

Secara default, 7-Zip yang dijalankan di Windows hanya berjalan dengan token pengguna standar yang telah difilter, bahkan jika dijalankan oleh administrator. Ini berarti penyerang hanya mendapatkan hak terbatas kecuali program dijalankan dengan izin administrator.

Tingkat Keparahan dan Cara Eksploitasi

ZDI menetapkan tingkat keparahan kerentanan ini sebagai tinggi (score 7.0), bukan kritis, dengan vektor CVSS 3.0 sebagai berikut: AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H. Artinya, eksploitasi membutuhkan akses lokal dan interaksi pengguna, misalnya membuka arsip XZ yang berbahaya.

Metode eksploitasi biasanya melibatkan penyampaian arsip melalui email, unduhan, atau halaman web yang memicu 7-Zip membuka file tersebut. Kompleksitas serangan yang tinggi membuat eksploitasi secara andal menjadi sulit. Hingga 20 Juli 2026, belum ditemukan bukti konsep publik atau laporan eksploitasi nyata di dunia maya.

Perbaikan Teknis pada 7-Zip Versi 26.02

Analisis kode sumber menunjukkan perbaikan terletak pada fungsi MixCoder_Code di berkas C/XzDec.c. Masalah utama adalah decoder menerima panjang buffer output penuh setiap kali melewati filter, bukan sisa ruang yang tersisa setelah penulisan sebelumnya. Hal ini menyebabkan penulisan di luar batas buffer.

Perbaikan di versi 26.02 mengurangi panjang buffer dengan jumlah byte yang sudah ditulis dan menghentikan proses jika totalnya melebihi kapasitas buffer, mencegah overflow.

Bug ini sudah ada sejak setidaknya versi 7-Zip 21.07 (rilis tahun 2021), namun belum jelas versi mana yang benar-benar rentan dieksploitasi.

Riwayat Kerentanan Memori dan Saran Pembaruan

CVE-2026-14266 merupakan salah satu dari beberapa kerentanan terkait keamanan memori di 7-Zip yang ditemukan dalam beberapa bulan terakhir. Sebelumnya, pada 27 April 2026, versi 26.01 memperbaiki sejumlah bug, termasuk CVE-2026-48095, yaitu heap-write overflow pada handler NTFS yang memiliki skor lebih tinggi dan sudah ada bukti konsep eksploitasi.

Versi 26.02 merupakan pembaruan penting yang menggabungkan semua perbaikan tersebut. Oleh karena itu, pengguna sangat disarankan untuk segera menginstal 7-Zip versi 26.02 atau lebih baru pada semua komputer yang digunakan untuk membuka arsip dari sumber luar.

• Pembaruan 7-Zip bersifat manual dan harus diunduh dari situs resmi.
• Perangkat lunak pihak ketiga yang menyertakan dekoder XZ 7-Zip juga harus menunggu patch dari vendor masing-masing.
• Pembaruan ini dirilis 20 hari sebelum pengumuman resmi, sehingga pengguna yang sudah update sejak akhir Juni sudah terlindungi lebih awal.

Analisis Redaksi

Menurut pandangan redaksi, kerentanan ini menegaskan bahwa perangkat lunak open source populer seperti 7-Zip tetap rentan terhadap bug memori yang serius, meskipun sudah digunakan secara luas dan dipercaya. Kejadian ini mengingatkan pentingnya rutinitas audit keamanan dan pembaruan berkala, terutama pada aplikasi yang sering menerima file dari sumber tidak terpercaya.

Kerentanan dengan skenario serangan lokal dan membutuhkan interaksi pengguna memang tidak tergolong kritis, tetapi berpotensi berbahaya bila dikombinasikan dengan teknik rekayasa sosial seperti phishing. Oleh karena itu, edukasi kepada pengguna agar tidak membuka file sembarangan tetap menjadi kunci mitigasi risiko.

Ke depannya, pengguna dan organisasi harus memantau pembaruan keamanan secara proaktif dan memastikan semua komponen perangkat lunak yang digunakan dalam ekosistemnya selalu berada pada versi terbaru. Mengingat patch ini sudah tersedia, tidak ada alasan untuk menunda pembaruan yang dapat mencegah potensi eksploitasi.

Untuk informasi lebih lengkap dan update terkini, Anda dapat membaca sumber asli di The Hacker News dan mengikuti kanal berita keamanan terpercaya lainnya.