CVE-2026-14266

highPriorität · verfolgen · 41EPSS 0.007 · 54. PerzentilExploit · PoCDEEUFRRUUS

grimoire priorityP1 · Urgent

Exploitable?

Public exploit

3 exploits · PoC

Likely / severe?

0.74% (54th) EPSS

CVSS 7.8 · high

Is it mine?

15 products

Prüfe deine Angriffsfläche

Who says so?

7 sources

cnnvd · enisa_euvd · fstec_bdu · bosch_psirt

EPSS · bewertet 2026-10-27

7-Zip XZ Decompression Heap-based Buffer Overflow Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of 7-Zip. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file. The specific flaw exists within the processing of XZ chunked data. Crafted XZ-compressed data can trigger an overflow of a heap-based buffer. An attacker can leverage this vulnerability to execute code in the context of the current process. Was ZDI-CAN-30169.

Behebungen

Hersteller-Fix, Mitigation oder Workaround, wie von den Quellen veröffentlicht.

Ein Hersteller-Fix ist verfügbar.

BehobenPRI7000bosch_psirt
Update PRI7000 to version 1.11.17.3, 1.11.18.3, or 1.11.19.1 or newer, as applicable.
https://store.boschrexroth.com/de/de/pri7000-engineering-software

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

7.8

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen

v3.17.8highCVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:Hprimary · NVD / NIST USAusnutzbarkeit 1.8 · Auswirkung 5.9

v3.07highCVSS:3.0/AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:Hsecondary · ENISA EU

v3.07highCVSS:3.0/AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:Hsecondary · zdi-disclosures@trendmicro.comAusnutzbarkeit 1 · Auswirkung 5.9

v3.07highCVSS:3.0/AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:Hsecondary · Bosch PSIRT DE

v3.17highAV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:Hsecondary · FSTEC (BDU) RU

v3.17.4highCVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H/E:Psecondary · CVSS-BT (t0sche)

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Exploitation: none · Automatable: no · Technical Impact: totalcoordinatorcisa_ssvcUS

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-122USCWE-122USCWE-122US

Exploits (3)

Öffentlicher Proof-of-Concept- und Exploit-Code.

4minx/CVE-2026-14266CVE-2026-14266 - XZ Heap Buffer Overflow PoC Generator for 7-ZipPoC · poc_in_github
liyuxuan504-byte/CVE-2026-142667-Zip XZ Decoder Heap Buffer Overflow - Full analysis, root cause, PoC, and RCE exploitation roadmapPoC · poc_in_github
ret2bilibili/CVE-2026-14266ret2bilibili/CVE-2026-14266PoC · poc_in_github

betroffene Produkte (15)

Betroffene Produkte und Versionsbereiche.

Bosch Rexroth AG PRI7000≤ vers:generic/<1.11.17.3bosch_psirtDE
Bosch Rexroth AG PRI7000≤ vers:generic/<1.11.18.3bosch_psirtDE
Bosch Rexroth AG PRI7000≤ vers:generic/<1.11.19.1bosch_psirtDE
Debian Linuxalle Versionencert_bundDEcpe:/o:debian:debian_linux:-
NetApp ActiveIQ Unified Manager for Microsoft Windowsalle Versionencert_bundDEcpe:/a:netapp:active_iq_unified_manager:for_microsoft_windows
SUSE Linuxalle Versionencert_bundDEcpe:/o:suse:suse_linux:-
SUSE openSUSEalle Versionencert_bundDEcpe:/o:suse:opensuse:-
Open Source 7-Zip< 26.02cert_bundDE
7-Zip 7-Zip≤ 26.01enisa_euvdEU
ООО «Ред Софт» РЕД ОС≤ 7.3fstec_bduRU
ООО «Ред Софт» РЕД ОС≤ 8.0fstec_bduRU
ООО «РусБИТех-Астра» Astra Linux Special Edition≤ 4.7fstec_bduRU
ООО «РусБИТех-Астра» Astra Linux Special Edition≤ 1.7fstec_bduRU
Павлов Игорь 7-Zip≤ 26.02fstec_bduRU
7-zip 7-zip< 26.02nvdUScpe:2.3:a:7-zip:7-zip:*:*:*:*:*:*:*:*

Advisories (3)

Hersteller- und Ökosystem-Meldungen dazu.

BOSCH-SA-0696467-Zip XZ Decompression Heap-based Buffer Overflow bundled with PRI70002026-10-12csaf · bosch_psirtDE
7-Zip 26.01 and older contains a heap-based buffer overflow in XZ decompression. A crafted XZ archive can cause arbitrary code execution in the current user's context. The vulnerable portable version of 7-Zip is bundled with Bosch Rexroth AG PRI7000. The component must be accessed directly on the customer PC; PRI7000 and its other components cannot exploit the vulnerability indirectly.
WID-SEC-W-2026-23697-Zip: Schwachstelle ermöglicht CodeausführungDeutsch2026-07-15csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann eine Schwachstelle in 7-Zip ausnutzen, um beliebigen Programmcode auszuführen.
CERTFR-2026-AVI-1385Multiples vulnérabilités dans les produits VMwareFrançais2026-10-26vendor · certfrFR

auch bekannt als (6)

Weitere Namen und Kennungen dieser Entität.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvd enisa_euvd fstec_bdu bosch_psirt cert_bund nvd certfr NVD CVE.org MITRE

veröffentlicht 2026-07-29geändert 2026-10-08

Referenzen (5)

Externe Belege — Patches, Meldungen, Analysen.

http://www.openwall.com/lists/oss-security/2026/07/17/12 cnnvd
https://www.zerodayinitiative.com/advisories/ZDI-26-444/cnnvd
https://www.zerodayinitiative.com/advisories/ZDI-26-444/enisa_euvd
http://www.openwall.com/lists/oss-security/2026/07/17/12Mailing ListThird Party Advisorynvd
https://www.zerodayinitiative.com/advisories/ZDI-26-444/Third Party AdvisoryVDB Entrynvd

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan