7-Zip là một trong những phần mềm nén và giải nén tệp phổ biến nhất trên Windows nhờ miễn phí, nhẹ và hỗ trợ nhiều định dạng. Tuy nhiên, một lỗ hổng bảo mật mới được công bố đang khiến hàng triệu máy tính có nguy cơ trở thành mục tiêu của tin tặc nếu người dùng chưa cập nhật lên phiên bản mới nhất.

Lỗ hổng mang mã CVE-2026-14266 vừa được Zero Day Initiative (ZDI) công bố với mức độ nghiêm trọng 7,0/10, có khả năng dẫn đến thực thi mã từ xa (Remote Code Execution) khi người dùng xử lý một tệp nén được tạo đặc biệt.

Lỗ hổng CVE-2026-14266 trên 7-Zip nguy hiểm như thế nào?

Theo Zero Day Initiative, vấn đề nằm trong cách 7-Zip xử lý dữ liệu nén định dạng XZ theo từng khối. Tin tặc có thể tạo một tệp XZ được thiết kế đặc biệt nhằm gây ra lỗi tràn bộ nhớ heap (Heap Buffer Overflow) trong quá trình giải nén.

Khi dữ liệu vượt quá vùng nhớ được cấp phát, nó có thể ghi đè lên các khu vực bộ nhớ lân cận và làm thay đổi cách chương trình hoạt động. Nếu khai thác thành công, kẻ tấn công có thể thực thi mã với quyền của tài khoản người dùng đang đăng nhập trên máy tính.

Điểm đáng lưu ý là đây không phải kiểu tấn công tự động. Thiết bị sẽ không bị xâm nhập chỉ vì cài đặt 7-Zip. Cuộc tấn công chỉ xảy ra khi người dùng mở hoặc giải nén một tệp XZ độc hại, hoặc truy cập vào nguồn phát tán chứa nội dung đã được chuẩn bị trước.

Vì sao người dùng dễ trở thành mục tiêu?

Nhiều người thường xem việc giải nén tệp là thao tác an toàn và ít khi nghi ngờ các tập tin nén nhận được qua email hoặc tải về từ Internet.

Tuy nhiên, với lỗ hổng CVE-2026-14266, chính quá trình xử lý tệp XZ đã có thể kích hoạt lỗi trước khi người dùng nhận ra bên trong chứa nội dung độc hại. Điều này khiến việc mở các tệp đến từ nguồn không xác thực trở nên nguy hiểm hơn.

Nhà nghiên cứu Landon Peng đã báo cáo lỗ hổng cho nhóm phát triển 7-Zip vào ngày 05/06/2026 và Zero Day Initiative chính thức công bố thông tin vào ngày 15/07/2026.

7-Zip đã phát hành bản vá nhưng không tự động cập nhật

Tin vui là nhà phát triển đã khắc phục lỗ hổng trong 7-Zip phiên bản 26.02, phát hành ngày 25/06/2026.

Tuy nhiên, khác với nhiều phần mềm hiện nay, 7-Zip không tích hợp tính năng tự động kiểm tra hoặc tải bản cập nhật. Phần mềm cũng không kết nối Internet để thông báo phiên bản mới, đồng nghĩa với việc rất nhiều máy tính vẫn có thể đang sử dụng phiên bản cũ và dễ bị khai thác.

Đây chính là nguyên nhân khiến lỗ hổng dù đã được vá nhưng vẫn có thể ảnh hưởng đến số lượng lớn người dùng trên toàn thế giới.

Cách kiểm tra phiên bản 7-Zip đang sử dụng

Người dùng có thể kiểm tra nhanh phiên bản hiện tại bằng các bước sau:

Mở 7-Zip File Manager.

Chọn Help.

Chọn About 7-Zip.

Nếu phiên bản hiển thị thấp hơn 26.02, người dùng nên tải và cài đặt bản mới nhất từ trang chủ chính thức của 7-Zip càng sớm càng tốt.

Đối với phần lớn máy tính Windows hiện nay, hãy lựa chọn bản 64-bit x64. Nếu đang sử dụng thiết bị Windows chạy trên nền tảng ARM, cần tải đúng phiên bản ARM64 tương ứng.

Những lưu ý giúp giảm nguy cơ bị tấn công

Trong thời gian chưa cập nhật, người dùng nên hạn chế mở hoặc giải nén các tệp XZ nhận qua email, ứng dụng nhắn tin hoặc tải xuống từ những nguồn không rõ ràng.

Ngoài ra, việc quét tệp bằng phần mềm bảo mật trước khi mở cũng giúp giảm phần nào rủi ro. Tuy nhiên, đây chỉ là biện pháp hỗ trợ và không thể thay thế việc cập nhật bản vá chính thức.

Không chỉ 7-Zip, các phần mềm nén tệp cũng từng nhiều lần xuất hiện lỗ hổng

7-Zip không phải là phần mềm đầu tiên gặp sự cố bảo mật liên quan đến xử lý tệp nén. Trước đây, WinRAR cũng nhiều lần phải phát hành bản vá cho các lỗ hổng có thể bị khai thác thông qua các tệp nén độc hại.

Điểm chung của nhóm phần mềm này là thường được cài đặt trong thời gian rất dài nhưng ít người kiểm tra hoặc cập nhật phiên bản định kỳ. Điều đó khiến nhiều máy tính vẫn tồn tại nguy cơ bảo mật dù nhà phát triển đã phát hành bản vá từ trước.

Kết luận

Lỗ hổng CVE-2026-14266 là lời nhắc nhở rằng ngay cả những phần mềm quen thuộc như 7-Zip cũng có thể trở thành mục tiêu của các cuộc tấn công nếu không được cập nhật thường xuyên. Mặc dù việc khai thác yêu cầu người dùng mở tệp XZ độc hại, nhưng nguy cơ vẫn đáng lưu ý khi các hình thức phát tán mã độc qua email và tệp nén ngày càng phổ biến.

Nếu đang sử dụng 7-Zip trên Windows, hãy kiểm tra phiên bản ngay hôm nay và nâng cấp lên 7-Zip 26.02 hoặc mới hơn để đảm bảo an toàn cho hệ thống và dữ liệu của bạn.

7-Zip là một trong những phần mềm nén và giải nén tệp phổ biến nhất trên Windows nhờ miễn phí, nhẹ và hỗ trợ nhiều định dạng. Tuy nhiên, một lỗ hổng bảo mật mới được công bố đang khiến hàng triệu máy tính có nguy cơ trở thành mục tiêu của tin tặc nếu người dùng chưa cập nhật lên phiên bản mới nhất.

Lỗ hổng mang mã CVE-2026-14266 vừa được Zero Day Initiative (ZDI) công bố với mức độ nghiêm trọng 7,0/10, có khả năng dẫn đến thực thi mã từ xa (Remote Code Execution) khi người dùng xử lý một tệp nén được tạo đặc biệt.

Lỗ hổng CVE-2026-14266 trên 7-Zip nguy hiểm như thế nào?

Theo Zero Day Initiative, vấn đề nằm trong cách 7-Zip xử lý dữ liệu nén định dạng XZ theo từng khối. Tin tặc có thể tạo một tệp XZ được thiết kế đặc biệt nhằm gây ra lỗi tràn bộ nhớ heap (Heap Buffer Overflow) trong quá trình giải nén.

Khi dữ liệu vượt quá vùng nhớ được cấp phát, nó có thể ghi đè lên các khu vực bộ nhớ lân cận và làm thay đổi cách chương trình hoạt động. Nếu khai thác thành công, kẻ tấn công có thể thực thi mã với quyền của tài khoản người dùng đang đăng nhập trên máy tính.

Điểm đáng lưu ý là đây không phải kiểu tấn công tự động. Thiết bị sẽ không bị xâm nhập chỉ vì cài đặt 7-Zip. Cuộc tấn công chỉ xảy ra khi người dùng mở hoặc giải nén một tệp XZ độc hại, hoặc truy cập vào nguồn phát tán chứa nội dung đã được chuẩn bị trước.

Vì sao người dùng dễ trở thành mục tiêu?

Nhiều người thường xem việc giải nén tệp là thao tác an toàn và ít khi nghi ngờ các tập tin nén nhận được qua email hoặc tải về từ Internet.

Tuy nhiên, với lỗ hổng CVE-2026-14266, chính quá trình xử lý tệp XZ đã có thể kích hoạt lỗi trước khi người dùng nhận ra bên trong chứa nội dung độc hại. Điều này khiến việc mở các tệp đến từ nguồn không xác thực trở nên nguy hiểm hơn.

Nhà nghiên cứu Landon Peng đã báo cáo lỗ hổng cho nhóm phát triển 7-Zip vào ngày 05/06/2026 và Zero Day Initiative chính thức công bố thông tin vào ngày 15/07/2026.

7-Zip đã phát hành bản vá nhưng không tự động cập nhật

Tin vui là nhà phát triển đã khắc phục lỗ hổng trong 7-Zip phiên bản 26.02, phát hành ngày 25/06/2026.

Tuy nhiên, khác với nhiều phần mềm hiện nay, 7-Zip không tích hợp tính năng tự động kiểm tra hoặc tải bản cập nhật. Phần mềm cũng không kết nối Internet để thông báo phiên bản mới, đồng nghĩa với việc rất nhiều máy tính vẫn có thể đang sử dụng phiên bản cũ và dễ bị khai thác.

Đây chính là nguyên nhân khiến lỗ hổng dù đã được vá nhưng vẫn có thể ảnh hưởng đến số lượng lớn người dùng trên toàn thế giới.

Cách kiểm tra phiên bản 7-Zip đang sử dụng

Người dùng có thể kiểm tra nhanh phiên bản hiện tại bằng các bước sau:

Mở 7-Zip File Manager.

Chọn Help.

Chọn About 7-Zip.

Nếu phiên bản hiển thị thấp hơn 26.02, người dùng nên tải và cài đặt bản mới nhất từ trang chủ chính thức của 7-Zip càng sớm càng tốt.

Đối với phần lớn máy tính Windows hiện nay, hãy lựa chọn bản 64-bit x64. Nếu đang sử dụng thiết bị Windows chạy trên nền tảng ARM, cần tải đúng phiên bản ARM64 tương ứng.

Những lưu ý giúp giảm nguy cơ bị tấn công

Trong thời gian chưa cập nhật, người dùng nên hạn chế mở hoặc giải nén các tệp XZ nhận qua email, ứng dụng nhắn tin hoặc tải xuống từ những nguồn không rõ ràng.

Ngoài ra, việc quét tệp bằng phần mềm bảo mật trước khi mở cũng giúp giảm phần nào rủi ro. Tuy nhiên, đây chỉ là biện pháp hỗ trợ và không thể thay thế việc cập nhật bản vá chính thức.

Không chỉ 7-Zip, các phần mềm nén tệp cũng từng nhiều lần xuất hiện lỗ hổng

7-Zip không phải là phần mềm đầu tiên gặp sự cố bảo mật liên quan đến xử lý tệp nén. Trước đây, WinRAR cũng nhiều lần phải phát hành bản vá cho các lỗ hổng có thể bị khai thác thông qua các tệp nén độc hại.

Điểm chung của nhóm phần mềm này là thường được cài đặt trong thời gian rất dài nhưng ít người kiểm tra hoặc cập nhật phiên bản định kỳ. Điều đó khiến nhiều máy tính vẫn tồn tại nguy cơ bảo mật dù nhà phát triển đã phát hành bản vá từ trước.

Kết luận

Lỗ hổng CVE-2026-14266 là lời nhắc nhở rằng ngay cả những phần mềm quen thuộc như 7-Zip cũng có thể trở thành mục tiêu của các cuộc tấn công nếu không được cập nhật thường xuyên. Mặc dù việc khai thác yêu cầu người dùng mở tệp XZ độc hại, nhưng nguy cơ vẫn đáng lưu ý khi các hình thức phát tán mã độc qua email và tệp nén ngày càng phổ biến.

Nếu đang sử dụng 7-Zip trên Windows, hãy kiểm tra phiên bản ngay hôm nay và nâng cấp lên 7-Zip 26.02 hoặc mới hơn để đảm bảo an toàn cho hệ thống và dữ liệu của bạn.