近期安全研究领域公布了一则重磅预警，知名解压工具7-Zip曝出编号为CVE-2026-1426的远程代码执行漏洞。攻击者只需自制嵌入特殊XZ数据的恶意压缩包，诱导普通用户用7-Zip打开或是解压文件，就能触发堆缓冲区溢出问题，直接以当前系统用户的身份远程运行恶意程序。
据Zero Day Initiative团队的公开披露信息，该漏洞的触发根源藏在7-Zip处理XZ格式分块数据的逻辑环节里，经过恶意构造的XZ压缩流能够突破安全边界引发堆区溢出，攻击者依托漏洞就能在7-Zip的当前运行进程环境下执行任意指令。
不同于市面上部分可静默触发的高危漏洞，这一漏洞无法实现零点击入侵，必须诱导用户访问恶意网页或是手动打开恶意压缩文件才会生效。
但实际场景下的利用门槛并不算高，攻击者完全可以把携带恶意代码的压缩包伪装成快递订单、项目合同、电子发票这类日常高频文件，通过钓鱼邮件批量推送至目标人群。比起直接分发EXE格式的可执行文件，伪装后的压缩包迷惑性极强，普通用户的警惕意识往往更低，中招概率会大幅提升。
目前7-Zip官方已经在最新推送的26.02版本里新增了专属空间校验机制，从根源上封堵了解压过程中解码器写入数据超出缓冲区边界的问题。这里要特别提醒广大用户注意，7-Zip本身没有内置自动更新功能，既不会弹出版本更新提示，也不会在后台悄无声息完成升级操作，所有用户都得自行前往官方站点下载全新安装包手动完成版本迭代。
想要确认当前使用的7-Zip具体版本号，只需要打开软件主界面，点开顶部菜单栏的帮助栏目，选中“关于7-Zip”选项就能查看详情。考虑到7-Zip坐拥海量用户群体，且本身缺失自动更新机制的特性，强烈建议所有正在使用该工具的用户尽快升级到26.02或是更高的版本，日常使用中也要时刻留意各类压缩文件的来源安全性，避免中招。
