7-Zipがリモートコード実行の脆弱性を修正（CVE-2026-14266）

yab

2026.07.21

7-Zipがリモートコード実行の脆弱性を修正　今すぐアップデートを！（CVE-2026-14266）

BleepingComputer – July 18, 2026

7-Zipは、リモートコード実行を引き起こす可能性のある脆弱性（CVE-2026-14266）を修正したバージョン26.02を6月25日にリリースした。

7月15日に公開されたZero Day Initiativeの勧告によると、攻撃者は特別に細工されたxzデータを使ってヒープベースのバッファオーバーフローを引き起こし、任意のコードを実行できる可能性があるという。一方、悪用するにはユーザー自身が悪意のあるページやアーカイブファイルにアクセスする必要がある。

詳細は公表されていないものの、前バージョンからの変更点を鑑みるに、この脆弱性は7-Zipがxzデータを解凍する際に利用可能な容量を追跡する方法に関連していると考えられる。パッチには、デコーダーが出力バッファの残りの空き領域を超えて書き込むことができないようにするチェックが追加されており、ヒープベースのバッファオーバーフローを防止する。

現時点では、攻撃者がこの新たに明らかになった7-Zipの脆弱性を悪用しているという報告はないものの、7-ZipやWinRARを含む人気アーカイブソフトの脆弱性は過去に何度もマルウェア配布に利用されている。7-Zipには自動更新機能がないため、速やかに7-Zip公式サイトからバージョン26.02を手動でインストールすることが推奨される。

WP2Shell脆弱性、攻撃で悪用されるように：CVE-2026-60137、CVE-2026-63030

TechCrunch – July 20, 2026

最近新たに修正されたWordPressの脆弱性「WP2Shell」は、開示から間も無く攻撃者に悪用され始めたという。

WP2Shellは、CVE-2026-60137およびCVE-2026-63030に名付けられた呼称。前者は深刻度の高いSQLインジェクションの脆弱性、後者は重大な任意コード実行の脆弱性と説明されている。これらの脆弱性を連鎖させることで、攻撃者は影響を受けるWordPressサイト上で認証なしでリモートコードを実行し、サイトを乗っ取ることができるようになるとされる。

WordPressは7月17日にWP2Shellに対するパッチのリリース（バージョン6.9.5、7.0.2）をアナウンスした。その後間も無く、サイバーセキュリティ企業のPatchstack、Hexastrike、WatchTowrはいずれも、攻撃者らが同脆弱性を実際の攻撃で悪用しているとの警告を発している。

現時点で、どのくらいの数のWordPressサイトがリスクに晒されているのかは不明。WordPressの公式統計によると、影響を受けるバージョン（6.9.0〜6.9.4、7.0.0〜7.0.1）を使用するサイト数は4億あるとされるが、これにはその後パッチを適用したサイトの数が反映されていない可能性が高いという。一方で3,500件ほどのWordPressサイトのサンプルを確認したサイバーセキュリティコンサルタントのDaniel Card氏は、全体の15%弱が脆弱だろうと推測。この割合を現在インターネット上に存在するWordPressサイトの総数に適用すると、合計9,000万件ほどのサイトが脆弱な可能性があることになるとのこと。