ثغرة 7-Zip XZ: تنفيذ كود خبيث أثناء فك الضغط

مقدمة تحليلية

صدر تحذير بشأن ثغرة أمنية جديدة، تحمل المعرف CVE-2026-14266، في برنامج ضغط الملفات 7-Zip. تكمن الثغرة في تجاوز سعة المخزن المؤقت المستند إلى الكومة (heap-based buffer overflow) ضمن آلية معالجة الأرشيفات من نوع XZ المجزأة. كشفت مبادرة Zero Day Initiative (ZDI) التابعة لـ Trend Micro عن تفاصيل الثغرة في 15 يوليو 2026، بعد أن كانت 7-Zip قد شحنت إصلاحاً لها ضمن النسخة 26.02 بتاريخ 25 يونيو 2026. تسمح هذه الثغرة للمهاجم بتنفيذ تعليمات برمجية ضمن سياق العملية الحالية عند فتح أرشيف XZ معد خصيصاً.

التحليل التقني

تُصنف الثغرة CVE-2026-14266 على أنها تجاوز سعة مخزن مؤقت مستند إلى الكومة، وتؤثر في وظيفة MixCoder_Code ضمن ملف C/XzDec.c المسؤول عن فك تشفير XZ. كان السبب التقني للخلل هو تزويد فك التشفير بطول المخزن المؤقت الكامل في كل مرة يتم تمرير مخرج تدفق XZ عبر مُرشح، بدلاً من تزويده بالمساحة المتبقية بعد عمليات الكتابة السابقة. هذا الخطأ منح الوظيفة مساحة أكبر للعمل بها مما كان المخزن المؤقت يمتلكه بالفعل، مما أدى إلى حالة كتابة خارج الحدود المخصصة.

• معرف الثغرة: CVE-2026-14266
• النوع: تجاوز سعة المخزن المؤقت المستند إلى الكومة (heap-based buffer overflow)
• البرنامج المتأثر: 7-Zip، تحديداً في معالجتها لبيانات XZ المجزأة.
• النسخة المصححة: 7-Zip 26.02، والتي صدرت في 25 يونيو 2026.
• تاريخ الكشف العلني: 15 يوليو 2026، بواسطة Zero Day Initiative (ZDI).
• الجهة المبلغة: Landon Peng من Lunbun LLC في 5 يونيو 2026.
• تقييم ZDI للخطورة: 7.0 (High)، وليس Critical.
• معيار CVSS 3.0: AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H. يشير AV:L إلى أن المتجه هو هجوم محلي، و AC:H إلى تعقيد الاستغلال العالي.
• الآلية: تمرير طول المخزن المؤقت الكامل لوظيفة MixCoder_Code بدلاً من المساحة المتبقية، مما يؤدي إلى تجاوز الحدود.
• الإصلاح: النسخة 26.02 تقوم بطرح البايتات المكتوبة مسبقاً وتتوقف إذا تجاوز الإجمالي المتراكم حدود المخزن المؤقت.

على نظام التشغيل Windows، يعمل 7-Zip الذي يتم تشغيله بشكل طبيعي تحت رمز مستخدم قياسي مفلتر، حتى على حساب المسؤول، مما يحد من الحقوق التي يرثها المهاجم ما لم يتم تشغيل البرنامج بصلاحيات مرتفعة. لم يتم الإبلاغ عن أي دليل عام على الاستغلال (Proof-of-Concept) أو تقارير موثوقة عن استغلال الثغرة في الواقع حتى 20 يوليو 2026. نفس التعامل الخاطئ مع الطول موجود في مصدر 7-Zip منذ الإصدار 21.07 (2021) على الأقل، رغم عدم تحديد ZDI أو 7-Zip للإصدارات القابلة للاستغلال فعلياً. تُعد هذه الثغرة جزءاً من سلسلة من الأخطاء المتعلقة بسلامة الذاكرة في معالجات أرشيفات 7-Zip، بما في ذلك CVE-2026-48095، وهي ثغرة تجاوز سعة الكتابة على الكومة في معالج NTFS، والتي تم تفصيلها بواسطة GitHub Security Lab في 22 مايو 2026 مع وجود دليل على الاستغلال (PoC)، وقد تم تصحيحها في الإصدار 26.01. الإصدار 26.02 يجمع كافة هذه الإصلاحات.

السياق وتأثير السوق

برنامج 7-Zip هو أداة ضغط وفك ضغط ملفات مجانية ومفتوحة المصدر، تستخدم على نطاق واسع في البيئات الفردية والشركات. انتشارها الواسع يجعل أي ثغرة أمنية فيها ذات أهمية، حتى لو لم يتم تصنيفها على أنها 'Critical'. تقييم ZDI للثغرة بـ 'High' يشير إلى أنها لا تمثل تهديداً فورياً واسع النطاق، خاصة بالنظر إلى متطلباتها:

• متجه الهجوم المحلي (AV:L): يعني أن المهاجم يحتاج إلى تسليم الملف الخبيث إلى الضحية، الذي بدوره يجب أن يفتحه. هذا يختلف عن الثغرات التي يمكن استغلالها عن بعد دون تفاعل المستخدم (no-click).
• تعقيد الهجوم العالي (AC:H): يجعل من الصعب تطوير استغلال موثوق به وفعال، مما يقلل من احتمالية استغلالها بشكل جماعي.

في المقارنة مع الثغرات السابقة التي أثرت في 7-Zip، مثل CVE-2026-48095 التي كان لها دليل على الاستغلال علناً، تبدو ثغرة XZ هذه أقل ضجيجاً. ومع ذلك، فإن الطبيعة اليدوية لتحديث 7-Zip – الذي يتطلب تثبيتاً يدوياً من الموقع الرسمي – تعني أن الأنظمة التي لا يتم مراقبتها أو تحديثها بانتظام ستظل عرضة للخطر لفترة طويلة. هذا الأمر يثير قلقاً كبيراً في بيئات الشركات حيث قد لا يكون تحديث كل جهاز أمراً سهلاً أو تلقائياً. علاوة على ذلك، أي منتج آخر يستخدم مكتبة فك تشفير XZ من 7-Zip سيتطلب إصلاحاً من البائع الخاص به، مما يوسع نطاق المشكلة خارج نطاق تطبيق 7-Zip المستقل. توقيت الإصلاح، الذي سبق الكشف العلني عن الثغرة بـ 20 يوماً، كان نقطة إيجابية نادرة، حيث أتاحت فرصة للمستخدمين ليكونوا في صدارة المشكلة بدلاً من مطاردتها.

رؤية Glitch4Techs

تُظهر ثغرة CVE-2026-14266 في 7-Zip نمطاً مستمراً من نقاط الضعف في برامج ضغط الملفات الشائعة، مما يؤكد أن الاعتماد الواسع لا يترجم بالضرورة إلى حصانة. بالرغم من تقييم ZDI لها بـ 'High' وليس 'Critical' وتصنيفها كـ 'Local Attack Vector' مع 'High Attack Complexity'، إلا أن التهديد يظل قائماً بسبب ubiquity لـ 7-Zip. إن حقيقة أن الإصلاح قد صدر قبل 20 يوماً من الكشف العام عن التفاصيل التقنية هو ممارسة جيدة للحد من المخاطر. لكن هذه الميزة تُقوّض بشكل كبير بسبب آلية التحديث اليدوية. فالاعتماد على التثبيت اليدوي من الموقع الرسمي يعني أن قطاعاً كبيراً من المستخدمين، لا سيما في بيئات الشركات غير المدارة مركزياً، سيبقون على إصدارات قديمة ومعرضين للاستغلال، بغض النظر عن مدى سرعة توفير التصحيح الأصلي.