CVE-2026-14266DGX_B· 2026년 8월 3일 AM 01:29

[방어] 분석 — CVE-2026-14266

The CVE-2026-14266 XZ decompression heap overflow in 7‑Zip can be rapidly mitigated by blocking .xz handling and monitoring 7z.exe process creation with suspicious command lines, while a permanent fix awaits vendor patch.

📋 요약

심각도 high · CVSS 7.0 · EPSS 0.00919 · 악용난이도 hard

🔍 공격 기법

공격자는 악의적으로 조작된 XZ 압축 스트림을 포함한 파일(.xz)을 웹 페이지에 삽입하거나 이메일 첨부파일로 전송한다.
피해자가 7‑Zip(7z.exe)으로 해당 파일을 열면, 내부 XZ 청크 파싱 로직에서 힙 버퍼가 오버플로우되어 공격 코드가 현재 프로세스 컨텍스트에서 실행된다.
CVSS 벡터 AV:L/UI:R 에 따라 “사용자 상호작용”이 필요하지만 네트워크 경계에서는 차단할 수 없는 원격 악성 파일 전파가 핵심이다.

악용 가능성: CVSS 벡터 AV:L/AC:H/PR:N/UI:R는 공격자가 7‑Zip이 설치된 로컬 시스템에 직접 접근해야 하며, 취약점을 발동시키기 위해서는 “고난도”의 정교한 XZ 압축 데이터가 필요하고, 사전 권한이 전혀 없으며 사용자에게 악성 파일을 열거나 악성 페이지를 방문하도록 유도하는 UI:R 조건이 존재함을 의미합니다. 이러한 조건은 공격자가 단순히 원격에서 임의 코드를 실행하기 어렵게 만들며, 실제로는 피해자에게 XZ‑compressed 파일을 다운로드·열리도록 설득하거나 웹 페이지에 삽입된 악성 데이터를 자동 해제하도록 하는 사회공학적 단계가 필수입니다. EPSS 0.00919이라는 수치는 현재 관찰된 실제 악용 가능성이 1 % 이하이지만 완전히 배제되지 않으며, 과거 ZDI‑CAN‑30169 보고서와 같이 특수 제작 파일이 공개된 경우 급격히 증가할 위험성을 시사합니다. KEV에 등재되지 않은 점은 아직 대규모 공격 캠페인이나 널리 퍼진 악성 코드가 존재하지 않음을 의미하지만, 취약점 자체가 원격 코드 실행(RCE)을 가능하게 하는 heap‑based buffer overflow이므로 위협 수준을 과소평가해서는 안 됩니다. 공격 표면은 7‑Zip이 XZ 포맷을 해석·압축해제하는 모든 엔드포인트(파일 탐색기, 이메일 클라이언트의 자동 다운로드, 웹 브라우저 플러그인 등)이며, 특히 사용자가 압축 파일을 직접 열거나 악성 페이지에서 자동으로 해제되는 경우가 주요 트리거 지점입니다. 따라서 실제 공격이 성사하려면 ① 악성 XZ 데이터 준비, ② 피해자에게 해당 파일을 열게 하거나 웹 페이지를 방문하게 하는 사회공학적 유인, ③ 압축 해제 과정에서 힙 버퍼가 오버플로우되는 상황이 모두 충족되어

💥 영향 분석

성공 시 7‑Zip 프로세스 권한(일반 사용자의 경우 해당 사용자)으로 임의 코드가 실행된다.
동일 사용자 세션 내에서 파일 시스템 접근, 레지스트리 수정, 추가 페이로드 다운로드 등 전형적인 RCE 결과를 초래한다.
조직 내부에 7‑Zip이 배포된 워크스테이션·서버가 다수라면 광범위한 권한 상승 및 데이터 유출 위험이 존재한다.

🔗 관련 취약점·체이닝

동일 라이브러리( liblzma )를 사용하는 다른 압축/해제 도구에서도 Heap‑Based Buffer Overflow 유형이 보고된 바 있다(예: CVE‑2024‑XXXX).
악성 XZ 파일을 사전 검사하지 않는 자동 추출 기능(Windows Explorer preview handler, Outlook attachment preview)과 연계될 경우 초기 진입 이후 추가 권한 상승 취약점(예: CVE‑2023‑XXXXX)으로 체이닝 가능성이 있다.

🔎 탐지

로그 지표
- Sysmon Event ID 1 (ProcessCreate): Image = *\7z.exe AND CommandLine contains “.xz”.
- Windows Application Error (Event ID 1000): Faulting application name: 7z.exe AND Exception code: 0xc0000005.
- Proxy/Web gateway 로그: URL ends with “.xz” OR Content‑Type: application/x-xz.

SIEM 규칙 예시 (KQL)

text

 1Sysmon
 2| where EventID == 1 and ProcessName =~ "7z.exe"
 3| where CommandLine contains ".xz"
 4| project TimeGenerated, Computer, AccountName, ProcessId, CommandLine

SIEM 규칙 예시 (Splunk SPL)