ZDI bewertet CVE-2026-14266 mit 7,0 Punkten und damit als „Hoch“. Mehrere andere Berichte hatten die Lücke als kritisch eingeordnet, ZDI bleibt jedoch darunter. Der vollständige CVSS-3.0-Vektor lautet AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H. Besonders wichtig ist dabei AV:L: Der Angriffsvektor ist lokal und nicht direkt über das Netzwerk erreichbar; auch ein Angriff ohne Benutzeraktion ist damit nicht beschrieben.
Dass ZDI dennoch von entfernter Codeausführung spricht, bezieht sich laut The Hacker News darauf, dass ein Angreifer die präparierte Datei aus der Ferne zustellen kann, etwa per E-Mail, Download oder über eine Webseite, die die Datei an 7-Zip übergibt. Öffnen muss sie das Opfer aber weiterhin selbst. Hinzu kommt die hohe Angriffskomplexität, die eine verlässliche Ausnutzung zusätzlich erschwert. The Hacker News fand bis zum 20. Juli 2026 weder einen öffentlich verfügbaren Proof of Concept noch glaubhafte Berichte über Angriffe unter realen Bedingungen.
Technisch liegt der Fehler laut dem Vergleich des XZ-Decoders durch The Hacker News in der Funktion MixCoder_Code in C/XzDec.c. Wenn ein XZ-Datenstrom seine Ausgabe durch einen Filter schickt, bekam der Decoder demnach bei jedem Durchlauf die gesamte Länge des Ausgabepuffers übergeben statt nur des noch freien Restbereichs nach bereits erfolgten Schreibvorgängen. Dadurch konnte mehr in den Puffer geschrieben werden, als tatsächlich Platz vorhanden war – genau die von ZDI beschriebene Schreiboperation außerhalb der Puffergrenzen.
In Version 26.02 wird die Zahl der bereits geschriebenen Bytes nun abgezogen; außerdem bricht der Code ab, falls diese laufende Summe jemals die Puffergröße überschreitet. Nach Angaben von The Hacker News findet sich dieselbe fehlerhafte Längenbehandlung im 7-Zip-Quelltext unverändert mindestens bis zurück zu Version 21.07 aus dem Jahr 2021. Weder ZDI noch 7-Zip haben allerdings erklärt, welche Versionen tatsächlich ausnutzbar sind.
CVE-2026-14266 reiht sich in mehrere Speicherfehler in 7-Zips Archiv-Handlern ein. Bereits am 27. April beseitigte Version 26.01 eine ganze Gruppe solcher Probleme, darunter CVE-2026-48095. Diese höher bewertete Schwachstelle ist ein Heap-Schreibüberlauf im NTFS-Handler, den GitHub Security Lab am 22. Mai zusammen mit einem funktionierenden Proof of Concept beschrieben hatte. Die XZ-Lücke ist bislang deutlich unauffälliger geblieben; 26.02 bündelt jedoch sämtliche dieser Korrekturen in einem Update.
Wer 7-Zip Ende Juni bereits aktualisiert hatte, war nach dem Quelltext schon 20 Tage vor Veröffentlichung des Advisorys geschützt. Das Update auf 7-Zip 26.02 oder neuer muss manuell über die offizielle Webseite installiert werden. Systeme, die nicht aktiv gepflegt werden, erhalten es daher nicht automatisch. Produkte, die eine verwundbare Kopie von 7-Zips XZ-Decoder mitliefern, benötigen außerdem eine eigene Korrektur ihres jeweiligen Herstellers.