7-Zip 26.02 corrige une dangereuse faille de contrebande de code

Les attaquants peuvent exploiter la faille pour exécuter du code malveillant dissimulé dans des fichiers d'archive spécialement préparés, sans que les utilisateurs ne s'en aperçoivent. Une interaction de l'utilisateur est toutefois nécessaire – le fichier doit être ouvert activement. En cas de succès, le code malveillant s'exécute alors dans le contexte du processus courant.

La vulnérabilité a été découverte par la ZDI. Elle a été signalée le 5 juin au développeur de 7-Zip Igor Pavlov. Celui-ci a publié un correctif le 25 juin avec la version 26.02. La ZDI a publié son avis le 15 juillet. Les notes de version de 7-Zip 26.02 ne mentionnent pas la vulnérabilité par son nom, mais indiquent simplement que „einige Fehler und Sicherheitslücken behoben" wurden.

Selon la ZDI, la vulnérabilité porte l'identifiant CVE-2026-14266 et a été évaluée avec un score CVSS de 7,0 – classification « élevée ». La base de données NVD répertorie l'entrée.

La version précédente 26.01 du 27 avril avait déjà corrigé une faille dangereuse, également exploitable par la simple ouverture d'un fichier spécialement préparé. Les chercheurs en sécurité conseillent aux utilisateurs qui utilisent encore une version de 7-Zip antérieure au 26 janvier de procéder immédiatement à une mise à jour.

Calendrier de la découverte et du correctif

La nouvelle version 26.02 peut être téléchargée depuis la zone de téléchargement sur 7-zip.org. Ainsi, outre le correctif de sécurité, une version nettoyée de l'archiveur libre est également disponible.

Chrome : deuxième mise à jour en une semaine

En parallèle, des mises à jour régulières ont également été effectuées pour le navigateur Chrome mercredi : „In der Nacht zum Mittwoch hatten Googles Entwickler hingegen 15 Lücken im Browser geschlossen". „Google aktualisiert Chrome eigentlich jeden Mittwoch." Deux de ces vulnérabilités étaient considérées comme « risque critique ». Il s'agissait de fuites use-after-free dans le composant Ozone.

La semaine précédente, les développeurs de Google avaient corrigé au total 27 vulnérabilités dans Chrome. „Davon galten zwei als kritisch." Là aussi, aucune indication d'exploitation active des vulnérabilités corrigées en liberté.

Google a publié dans la nuit de vendredi une mise à jour non planifiée pour le navigateur Chrome. Les développeurs colmatent ainsi sept failles de sécurité supplémentaires dans le navigateur Web. Trois d'entre elles sont considérées comme « critiques ». Il s'agit de la deuxième mise à jour cette semaine après la mise à jour prévue mercredi.

Les versions de Chrome publiées mercredi portaient les numéros 150.0.7871.124/.125 pour macOS et Windows. Les versions mises à jour de Chrome portent les numéros 150.0.7871.128/.129 pour macOS et Windows.

Les trois failles critiques de la mise à jour de vendredi sont des vulnérabilités use-after-free non détaillées dans les composants CameraCapture (CVE-2026-15899), GPU (CVE-2026-15900) ainsi que Network (CVE-2026-15901). „CVE-2026-15899, GPU (CVE-2026-15900) sowie Network (CVE-2026-15901)".

Notes sur la mise à jour

L'annonce ne précise pas pourquoi la mise à jour a été effectuée hors calendrier. Habituellement, Google indique dans les notes de version les failles activement exploitées : „sofern die Lücken von Angreifern im Internet missbraucht werden, schreibt Google das üblicherweise auch in der Versionsankündigung. Das ist hier nicht der Fall."

Étant donné que les vulnérabilités concernent la base Chromium, les navigateurs Web basés sur celle-ci devraient également proposer des mises à jour sous peu. C'est notamment le cas de Microsoft Edge. Parallèlement, Google a également publié les premières builds de la série 151 pour Android et iOS.

Pour appliquer la mise à jour de Chrome, les utilisateurs peuvent ouvrir la boîte de dialogue de version. Elle se cache dans le menu du navigateur sous « Aide » – « À propos de Google Chrome ». Sous Linux, la gestion logicielle de la distribution sert généralement à mettre à jour le navigateur Web.

Les experts en sécurité recommandent de mettre à jour rapidement Chrome ainsi que 7-Zip, car les failles divulguées présentent un risque considérable d'exécution de code malveillant.