Giriş
7-Zip yazılımında yer alan CVE-2026-14266 kodlu zafiyet, saldırganların tasarlanmış XZ arşiv dosyaları aracılığıyla kod çalıştırmasına olanak tanımaktadır. Bu zafiyetin önemi, kullanıcıların sistemlerine yönelik potansiyel tehditler oluşturmasıdır.
Saldırı Nasıl Çalışıyor?
Bu zafiyet, 7-Zip’in XZ veri kümesi işleme sürecinde ortaya çıkan heap tabanlı bir buffer overflow’dan kaynaklanmaktadır. Saldırgan, 7-Zip’i çalıştırıp bu dosyayı açtığında, yazılımın mevcut süreç bağlamında kod çalıştırması mümkün hale gelir. Ancak, zafiyet yalnızca sınırlı yetkilere sahip bir kullanıcı tokeni ile çalışır.
- Sistem: Windows; standart kullanıcı tokeni kullanılarak başlatıldığında, yetkileri sınırlıdır.
- Valkı: Zafiyet 7.0 (Yüksek) olarak derecelendiriliyor.
- CVSS 3.0 vektörü:
AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
Etkilenen Sistemler
7-Zip’in 26.02 sürümünden önceki tüm sürümler bu zafiyeti içerebilir. Özellikle 7-Zip 21.07 ve öncesi sürümler, hatalı buffer uzunluğu yönetimi nedeniyle risk altındadır. ZDI, bu zafiyetin, diğer XZ çözümleyici hatalarıyla birlikte daha geniş bir bellek güvenliği sorununun bir parçası olduğunu belirtmektedir.
Çözüm ve Korunma
Tüm kullanıcıların, özellikle dış kaynaklardan arşiv dosyası açan makinelerinde 7-Zip 26.02 veya daha yeni bir sürüme güncelleme yapmaları önemlidir. Güncelleme, resmi web sitesinden manuel olarak yapılmalıdır, bu nedenle otomatik güncellemeleri kapalı olan sistemlerin bu güncellemeleri alması mümkün değildir.
- Adım 1: 7-Zip’i güncelleyiniz.
- Adım 2: Herhangi bir ürünün dahili XZ çözücüsü için vendor düzeltmesi gerekliliğini gözden geçirin.
- Adım 3: Güncellemenin ardından detayları takip edin, zafiyetin kapalılığına yönelik önlemler alın.
Sonuç
Tüm kullanıcılar, bu güncellemeyi geciktirmeden yapmalıdır. Unutulmamalıdır ki, uygun yazılım güncellemeleri ile sistem güvenliği artırılabilir. Zafiyetin detayları çıktıktan önce güncelleme yapanlar, sorunun önünde olmakta avantajlıdır.
