7-Zip: Kritisk sikkerhedshul lader hackere køre kode på din PC

Et nyopdaget kritisk sikkerhedshul i 7-Zip giver hackere mulighed for at afvikle ondsindet kode på din PC — blot ved at få dig til at åbne et manipuleret arkivfil. Sårbarheden, der er registreret som CVE-2026-14266, udnytter en fejl i appens behandling af XZ-komprimerede data og er rettet i version 26.02. Det alvorlige: 7-Zip opdaterer aldrig sig selv automatisk. Hvis du ikke manuelt har installeret version 26.02, er du stadig sårbar.

Hvad er fejlen, og hvordan virker angrebet?

Sikkerhedsforskere hos Zero Day Initiative (ZDI), der har offentliggjort detaljerne under referencen ZDI-26-444, har beskrevet en heap-baseret bufferoverløbsfejl i 7-Zips XZ-parser. XZ er et komprimeringsformat, der bruges i mange Linux-distributioner og til softwarepakker, og som 7-Zip håndterer på Windows.

Fejlen opstår, når 7-Zip behandler et XZ-arkiv, der indeholder specialkonstruerede "chunk data". Arkivets data er udformet på en måde, der tvinger programmet til at skrive udover grænserne for en minnebuffer — en klassisk heap overflow-tilstand. Resultatet kan være, at hackeren får mulighed for at afvikle vilkårlig kode med de rettigheder, den aktuelle bruger har på systemet.

Ifølge BleepingComputer tilføjer version 26.02 "checks to ensure the decoder cannot write beyond the remaining available space in an output buffer" — med andre ord en kontrol, der stopper overløbet, inden det kan udnyttes.

Angrebet kræver brugerinteraktion: offeret skal åbne det manipulerede arkiv i 7-Zip. Det er dog ikke en stor begrænsning i praksis, da phishing-mails med manipulerede ZIP- eller 7Z-filer er en af de mest udbredte angrebsmetoder globalt.

Hvilke versioner er ramt?

Alle versioner af 7-Zip ældre end 26.02 er sårbare over for CVE-2026-14266. Version 26.02 blev frigivet den 25. juni 2026 og indeholder rettelsen.

Det er ikke den første kritiske fejl i 7-Zip i 2026. Tidligere på året opdagede sikkerhedsforskere CVE-2026-48095 — en lignende heap overflow-fejl i 7-Zips NTFS-handler, der bar en CVSS 3.1-score på 8.8 og blev rettet i version 26.01, frigivet den 27. april 2026. CVE-2026-14266 bærer en CVSS-score på 7.0 (høj) og involverer XZ-parseren i stedet for NTFS-handleren.

To kritiske rettelser på under tre måneder er et signal om, at 7-Zips kodebase er under intensivt sikkerhedsmæssigt eftersyn i 2026 — og at brugere, der ikke holder appen opdateret, samler på sig en voksende angrebsflade.

Ingen aktiv udnyttelse endnu — men handl nu

Pr. udgivelsestidspunktet for BleepingComputers rapport var der ingen bekræftede tilfælde af aktiv udnyttelse af CVE-2026-14266 i naturen. Der var heller ingen offentligt tilgængelig proof-of-concept-kode. Det er gode nyheder — men det er en midlertidig tilstand.

Historisk set følger proof-of-concept-kode hurtigt efter offentliggørelse af en kritisk CVE med kendte tekniske detaljer, og arkivhåndtering er et klassisk angrebspunkt. 7-Zip er installeret på hundredvis af millioner af Windows-PCer verden over, og dens udbredte brug gør den til et attraktivt mål for trusselsaktører, der søger brede angrebsmuligheder.

Den gode nyhed er, at rettelsen er tilgængelig — og at installation tager under to minutter.

Sådan opdaterer du 7-Zip

7-Zip har ingen automatisk opdateringsfunktion. Du skal manuelt downloade og installere den nyeste version:

1. Gå til 7-zip.org — programmets officielle hjemmeside
2. Download den korrekte version til dit system (64-bit Windows i langt de fleste tilfælde)
3. Kør installationsfilen og accepter standardindstillingerne
4. Åbn 7-Zip File Manager efter installation og bekræft versionsnummeret øverst i vinduet — det skal vise 26.02

Opdateringen overskriver den eksisterende installation. Du behøver ikke afinstallere den gamle version først. Alle eksisterende filassociationer og indstillinger bevares.

Hvis du bruger et systemadministrationsværktøj som Ninite, Patch My PC eller Chocolatey, kan du opdatere 7-Zip derfra i batch med dine øvrige programmer.

Hvad gør du, hvis du ikke opdaterer med det samme?

Hvis du af en eller anden grund ikke kan opdatere straks, er den vigtigste begrænsende foranstaltning adfærdsbaseret: åbn ikke 7Z-, ZIP-, XZ- eller RAR-filer fra ukendte afsendere eller usikre hjemmesider. Husk, at 7-Zip ifølge søgning også ruter filer med bestemte signaturer til alternative parsere, selv om filtypen ikke ser mistænkelig ud — en .zip-fil kan potentielt trigge XZ-parseren under visse betingelser.

For virksomheder, der bruger 7-Zip som del af automatiserede processer eller serverinstallationer, bør patchingen prioriteres i den næste planlagte vedligeholdelsesvindow.

Konklusion

7-Zip er et af de mest udbredte og tillidsfulde arkivprogrammer til Windows, men to kritiske sikkerhedshuller inden for tre måneder minder os om, at selv veletableret software kræver aktiv vedligeholdelse. CVE-2026-14266 er rettet i version 26.02, frigivet den 25. juni 2026. Opdateringen er gratis, tager under to minutter og er tilgængelig direkte fra 7-zip.org. Gør det i dag.