สรุปสั้น
มีการเปิดเผยช่องโหว่ใหม่ใน 7-Zip หนึ่งในโปรแกรมบีบอัดและแตกไฟล์แบบโอเพนซอร์ส (Open Source) ที่มีผู้ใช้มากที่สุดในโลก ซึ่งเปิดทางให้ผู้โจมตีจากระยะไกลรันโค้ดอันตรายบนระบบที่ได้รับผลกระทบได้ ช่องโหว่นี้ถูกกำหนดรหัสเป็น CVE-2026-14266 มีต้นเหตุจากการจัดการข้อมูล XZ chunked ที่ไม่ถูกต้อง และได้รับการแก้ไขแล้วในซอฟต์แวร์เวอร์ชันล่าสุด ช่องโหว่อยู่ในกระบวนการที่ 7-Zip ประมวลผลสตรีมข้อมูลที่บีบอัดด้วย XZ โดยข้อมูล XZ chunked ที่ถูกสร้างขึ้นมาเป็นพิเศษสามารถกระตุ้นให้เกิด heap-based buffer overflow ซึ่งเป็นข้อผิดพลาดหน่วยความจำเสียหายที่เกิดเมื่อข้อมูลถูกเขียนลงบัฟเฟอร์เกินพื้นที่ที่จัดสรรไว้
ผู้โจมตีสามารถใช้ประโยชน์จากภาวะ overflow นี้เพื่อรันโค้ดอันตรายภายในบริบทของกระบวนการปัจจุบัน และอาจได้รับสิทธิ์เทียบเท่ากับผู้ใช้ที่ล็อกอินอยู่ อย่างไรก็ตามการโจมตีต้องอาศัยการปฏิสัมพันธ์จากเหยื่อ หมายความว่าผู้โจมตีไม่สามารถเจาะระบบจากระยะไกลได้เองโดยไม่มีการกระทำบางอย่างจากเหยื่อ 7-Zip ถูกใช้งานโดยผู้คน ธุรกิจ และผู้ดูแลระบบไอทีหลายล้านรายทั่วโลก ทำให้ช่องโหว่นี้มีความสำคัญอย่างมากแม้จะต้องมีเงื่อนไขการปฏิสัมพันธ์จากผู้ใช้ก็ตาม โดยช่องโหว่ได้รับการแก้ไขแล้วในเวอร์ชัน 26.02
รายละเอียดข่าว
เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 17 กรกฎาคม พ.ศ. 2569 ว่ามีการเปิดเผยช่องโหว่ CVE-2026-14266 ใน 7-Zip ซึ่งเกิดขึ้นในวิธีที่โปรแกรมประมวลผลสตรีมข้อมูลที่บีบอัดด้วยรูปแบบ XZ โดยเฉพาะข้อมูล XZ chunked ที่ถูกออกแบบมาเป็นพิเศษจะสามารถกระตุ้นให้เกิด heap-based buffer overflow ตามคำแนะนำจาก Zero Day Initiative (ZDI) เมื่อเหยื่อเปิดไฟล์หรือกระตุ้นการกระทำที่เกี่ยวข้อง ข้อมูล XZ ที่ผิดรูปจะทำให้ 7-Zip เขียนข้อมูลล้นบัฟเฟอร์บน heap และปล่อยให้โค้ดของผู้โจมตีทำงานอย่างเงียบ ๆ อยู่เบื้องหลัง
การใช้ประโยชน์จากช่องโหว่นี้จำเป็นต้องมีการปฏิสัมพันธ์จากผู้ใช้ โดยเป้าหมายจะต้องทำอย่างใดอย่างหนึ่งใน 2 กรณี คือเปิดไฟล์อาร์ไคฟ์ (Archive) ที่ถูกสร้างขึ้นมาโดยมีเจตนาร้าย หรือเข้าเยี่ยมชมหน้าเว็บอันตรายที่ถูกออกแบบมาเพื่อส่งเพย์โหลด XZ ที่สร้างขึ้นพิเศษ เนื่องจากผู้โจมตีมักอาศัยกลวิธีวิศวกรรมสังคม (Social Engineering) เช่น อีเมลฟิชชิงที่แนบไฟล์อันตราย เพื่อโน้มน้าวให้ผู้ใช้เปิดไฟล์อาร์ไคฟ์ที่ถูกดัดแปลง ช่องโหว่นี้จึงกลายเป็นจุดอ่อนที่นำไปใช้เป็นอาวุธได้ง่ายสำหรับการส่งมัลแวร์ การเตรียมการโจมตีด้วยแรนซัมแวร์ หรือการเจาะระบบเบื้องต้นในห่วงโซ่อุปทาน (Supply Chain) การโจมตีที่ใหญ่ขึ้น และเพราะ 7-Zip จัดการไฟล์ที่บีบอัดโดยค่าเริ่มต้นโดยไม่มีการตรวจสอบเนื้อหาเชิงลึก ผู้ใช้จึงอาจแตกไฟล์หรือเปิดไฟล์ XZ อันตรายโดยไม่รู้ตัว เข้าใจผิดว่าเป็นไฟล์ที่ถูกต้อง
รายละเอียดช่องโหว่
CVE-2026-14266 เป็นช่องโหว่ประเภท heap-based buffer overflow ที่อยู่ในตรรกะการแยกวิเคราะห์ข้อมูล XZ chunked ของ 7-Zip เมื่อโปรแกรมประมวลผลข้อมูลที่บีบอัดด้วย XZ ที่ถูกดัดแปลง จะเกิดการเขียนข้อมูลเกินขอบเขตพื้นที่หน่วยความจำที่จัดสรรไว้บน heap ส่งผลให้หน่วยความจำเสียหายและเปิดโอกาสให้ผู้โจมตีควบคุมการทำงานของโปรแกรมเพื่อรันโค้ดที่ต้องการได้ โดยโค้ดที่รันจะทำงานภายในสิทธิ์ของกระบวนการปัจจุบัน ซึ่งโดยทั่วไปเทียบเท่ากับสิทธิ์ของผู้ใช้ที่กำลังล็อกอินใช้งานอยู่ ช่องโหว่ถูกค้นพบและรายงานโดยนาย Landon Peng จากบริษัท Lunbun LLC ซึ่งเป็นส่วนหนึ่งของกระบวนการเปิดเผยช่องโหว่อย่างมีความรับผิดชอบ (Responsible Disclosure) ที่นำไปสู่การออกแพตช์ได้ทันเวลา ทั้งนี้ช่องโหว่ดังกล่าวได้รับการแก้ไขเรียบร้อยแล้วใน 7-Zip เวอร์ชัน 26.02
ผลกระทบต่อไทย
7-Zip เป็นโปรแกรมบีบอัดไฟล์ฟรีที่ได้รับความนิยมสูงมากในประเทศไทย ทั้งในหมู่ผู้ใช้ทั่วไป องค์กร และผู้ดูแลระบบไอที เนื่องจากใช้งานได้ฟรี รองรับไฟล์หลายรูปแบบ และมักถูกติดตั้งเป็นโปรแกรมมาตรฐานบนเครื่องคอมพิวเตอร์จำนวนมาก การที่ช่องโหว่นี้สามารถถูกนำไปใช้ส่งมัลแวร์หรือเตรียมการโจมตีด้วยแรนซัมแวร์ผ่านไฟล์แนบในอีเมลฟิชชิง ทำให้เป็นภัยที่ใกล้ตัวผู้ใช้ไทยอย่างยิ่ง โดยเฉพาะพนักงานออฟฟิศที่ต้องเปิดไฟล์บีบอัดที่ส่งต่อกันเป็นประจำ หากผู้ใช้เผลอเปิดไฟล์อาร์ไคฟ์ที่ถูกดัดแปลงจากผู้ส่งที่ไม่น่าเชื่อถือ ก็อาจเปิดทางให้คนร้ายเข้ายึดเครื่องและใช้เป็นจุดเริ่มต้นในการเจาะเข้าระบบเครือข่ายขององค์กรต่อไปได้
คำแนะนำ
ผู้ใช้และองค์กรควรอัปเดต 7-Zip เป็นเวอร์ชัน 26.02 หรือใหม่กว่าโดยทันที และหลีกเลี่ยงการเปิดไฟล์อาร์ไคฟ์จากแหล่งที่ไม่รู้จักหรือไม่น่าเชื่อถือ ควรเปิดใช้งานการสแกนไฟล์แนบในอีเมลเพื่อดักจับไฟล์บีบอัดอันตรายก่อนที่จะถูกส่งถึงผู้รับ รวมทั้งให้ความรู้แก่พนักงานเกี่ยวกับความเสี่ยงของการเปิดไฟล์บีบอัดที่ไม่ได้ร้องขอ เนื่องจากโปรแกรมบีบอัดไฟล์ยังคงเป็นช่องทางส่งมัลแวร์ที่พบได้บ่อย ช่องโหว่ CVE-2026-14266 จึงเป็นเครื่องเตือนใจว่าแม้แต่ซอฟต์แวร์ที่น่าเชื่อถือและถูกติดตั้งใช้งานอย่างกว้างขวางก็ยังอาจแฝงข้อบกพร่องด้านความปลอดภัยหน่วยความจำที่ร้ายแรงได้ ผู้ใช้จึงควรให้ความสำคัญกับการแพตช์อย่างรวดเร็วและใช้ความระมัดระวังในการจัดการไฟล์อยู่เสมอ