Pengguna 7-Zip perlu meningkatkan kewaspadaan setelah ditemukan sebuah celah keamanan baru yang berpotensi dimanfaatkan untuk menjalankan kode berbahaya pada perangkat korban. Kerentanan yang telah terdaftar dengan identitas CVE-2026-14266 ini memengaruhi salah satu aplikasi kompresi file open-source paling populer di dunia dan berasal dari kesalahan dalam menangani data XZ chunked. Kabar baiknya, pengembang telah menutup celah tersebut melalui pembaruan terbaru.
Baca Juga : Waspada Situs WinRAR Palsu yang Menyebarkan Malware Lewat Installer
Berdasarkan laporan keamanan, masalah ini muncul saat 7-Zip memproses aliran data berformat XZ. Penyerang dapat membuat file XZ yang telah dimodifikasi sedemikian rupa sehingga memicu heap-based buffer overflow, yaitu kondisi ketika data yang ditulis melebihi kapasitas memori yang telah dialokasikan. Akibatnya, memori dapat mengalami kerusakan dan membuka peluang bagi pelaku untuk menjalankan kode arbitrer pada sistem yang menjadi target.
Jika eksploitasi berhasil dilakukan, kode berbahaya akan berjalan menggunakan hak akses yang sama dengan pengguna yang sedang login. Dengan kata lain, tingkat dampaknya akan bergantung pada izin yang dimiliki oleh akun korban saat membuka file tersebut.
Meski demikian, eksploitasi celah ini tetap membutuhkan interaksi dari pengguna. Penyerang tidak dapat menguasai perangkat secara otomatis dari jarak jauh tanpa adanya tindakan dari korban. Agar serangan berhasil, korban harus melakukan salah satu dari dua hal berikut:
- Membuka file arsip yang telah disiapkan secara khusus oleh penyerang.
- Mengunjungi halaman web berbahaya yang mengirimkan payload XZ yang telah dimodifikasi.
Dalam advisori yang diterbitkan oleh Zero Day Initiative, dijelaskan bahwa ketika file atau payload tersebut diproses oleh 7-Zip, data XZ yang tidak valid akan menyebabkan heap buffer overflow. Proses ini kemudian memungkinkan kode berbahaya dijalankan secara diam-diam di latar belakang tanpa disadari pengguna.
Kerentanan ini menjadi perhatian serius karena 7-Zip digunakan oleh jutaan pengguna di seluruh dunia, mulai dari pengguna rumahan, perusahaan, hingga administrator TI. Aplikasi ini juga sering dimanfaatkan untuk mengompresi maupun mengekstrak berbagai jenis file dalam aktivitas sehari-hari.
Di sisi lain, pelaku siber kerap memanfaatkan teknik social engineering, seperti mengirim email phishing yang berisi lampiran arsip berbahaya. Tujuannya adalah membujuk korban agar membuka file tersebut sehingga malware, ransomware, atau akses awal ke sistem dapat diperoleh dengan lebih mudah.
Risiko semakin meningkat karena 7-Zip secara bawaan akan memproses file arsip tanpa melakukan pemeriksaan mendalam terhadap isi file. Akibatnya, pengguna dapat saja membuka atau mengekstrak arsip XZ berbahaya karena menganggap file tersebut aman dan berasal dari sumber yang tepercaya.
Cara Mengatasi Kerentanan Ini
Pengembang telah memperbaiki celah keamanan CVE-2026-14266 melalui 7-Zip versi 26.02. Oleh karena itu, pengguna maupun organisasi sangat disarankan untuk segera melakukan beberapa langkah berikut:
- Perbarui aplikasi ke 7-Zip versi 26.02 atau yang lebih baru.
- Hindari membuka file arsip dari sumber yang tidak dikenal atau tidak tepercaya.
- Aktifkan pemindaian lampiran email untuk mendeteksi file terkompresi yang berpotensi berbahaya sebelum dibuka.
- Tingkatkan kesadaran pengguna atau karyawan mengenai risiko membuka lampiran arsip yang dikirim tanpa diminta.
Kerentanan ini pertama kali ditemukan dan dilaporkan oleh Landon Peng dari Lunbun LLC melalui proses responsible disclosure, sehingga pengembang dapat merilis perbaikan dalam waktu yang relatif cepat.
Baca Juga : Kerentanan 7-Zip Memungkinkan Hacker Eksekusi Kode Arbitrer
Kasus CVE-2026-14266 menjadi pengingat bahwa bahkan perangkat lunak yang telah lama dipercaya dan digunakan secara luas pun tetap dapat memiliki celah keamanan yang berisiko tinggi. Oleh sebab itu, memperbarui aplikasi secara berkala serta lebih berhati-hati saat membuka file dari sumber yang tidak dikenal merupakan langkah penting untuk mengurangi potensi serangan siber di masa mendatang.
