Tenemos al alcance de la mano una gran cantidad de programas relacionados con la compresión y descompresión de archivos en nuestro PC. 7-Zip Es una de las propuestas más conocidas desde hace muchos años y se ha convertido en una de las más utilizadas en este sector del software.
Sin embargo, sus usuarios en estos instantes deben tomar ciertas precauciones debido a un fallo de seguridad que se acaba de descubrir en la aplicación. En concreto nos referimos a una vulnerabilidad recientemente descubierta en 7-Zip que permite a los atacantes ejecutar código arbitrario engañando a los usuarios para que abran un archivo comprimido XZ malicioso.
Identificada como CVE-2026-14266, el fallo consiste en un desbordamiento de búfer al manejar datos del formato XZ fragmentados. La vulnerabilidad se hizo pública hace unos días y afecta a buena parte de las instalaciones estables de 7-Zip. Para que nos hagamos una idea aproximada, el problema reside en el procesamiento de datos comprimidos XZ. Este es un formato de compresión comúnmente utilizado en paquetes de software, copias de seguridad y otros contenidos.
Según el aviso, los datos especialmente diseñados pueden provocar que 7-Zip escriba fuera de los límites de un búfer asignado. Esta corrupción de memoria podría permitir a un atacante obtener el control de la ejecución de la aplicación como tal, y ejecutar código arbitrario en el programa y sus contenidos.
Queda patente que la explotación exitosa de la vulnerabilidad requiere de la interacción del usuario. Un atacante tiene que engañar a la potencial víctima para que abra un archivo malicioso o acceda a contenido controlado por el mismo. Todo ello a través de una página web maliciosa o un proceso de descarga del fichero.
Así evitas riesgos si sigues usando 7-Zip
Si bien este requisito reduce la probabilidad de explotación automatizada, igualmente representa un riesgo significativo en campañas de phishing dirigido, distribución de malware, e ingeniería social. Con todo y con ello, los ciberdelincuentes siempre pueden disfrazar un archivo malicioso como un archivo legítimo, una actualización de software, o un paquete de documentos para engañar a las víctimas y que lo abran con 7-Zip.
Al mismo tiempo merece la pena apuntar que el ataque no requiere autenticación ni permisos previos. Esto significa que una víctima que simplemente abra un archivo, podría quedar expuesta, incluyendo los datos almacenados en su equipo. Y es que los desbordamientos de búfer como el mencionado, son particularmente peligrosos. La razón es que pueden corromper la memoria asignada dinámicamente y redirigir la ejecución del programa.
Así, un atacante puede utilizar la vulnerabilidad para lanzar malware, robar datos del PC, modificar archivos, o tomar el control del sistema afectado. Por el momento el aviso no asegura que la vulnerabilidad CVE-2026-14266 se esté explotando activamente, aunque la disponibilidad pública de los detalles técnicos podría aumentar la probabilidad de que se desarrolle un exploit.
Pero si nos queremos asegurar de disponer de una versión segura y protegida del compresor de archivos de código abierto 7-Zip, lo mejor que podemos hacer es actualizarlo a su más reciente versión. Es importante tener en consideración que este es un problema que se ha solucionado a partir de la versión 26.0. Este es un proceso que podemos llevar a cabo de forma totalmente gratuita desde la web oficial de su desarrollador, por ejemplo a través de este enlace.