Oggi alle 12:45 il CSIRT Italia, la struttura dell’Agenzia per la Cybersicurezza Nazionale, ha diramato un alert su 7-Zip: il programma che quasi tutti hanno sul computer per aprire e creare archivi compressi.
Il fatto nuovo non è la falla, che si conosce dalla seconda decade di luglio. È che ora circola pubblicamente il codice per riprodurla. Ed è il momento in cui una vulnerabilità smette di essere una faccenda da ricercatori e diventa una cosa alla portata di chiunque.
Cosa c’è che non va
La vulnerabilità è la CVE-2026-14266, punteggio 7,0 su 10 secondo il CSIRT. Tecnicamente è un heap-based buffer overflow nel pezzo di 7-Zip che decomprime gli archivi in formato XZ.
In pratica: un archivio costruito apposta, quando viene aperto o estratto, può far eseguire del codice sul computer con i permessi di chi lo sta usando.
Le versioni interessate sono tutte quelle precedenti alla 26.02. La correzione è nella 26.02, uscita il 25 giugno 2026.
Perché in un ufficio piccolo il problema è più serio che altrove
Qui sta il punto che vale la pena capire, e non è tecnico.
7-Zip non ha l’aggiornamento automatico. Lo scrive BleepingComputer senza giri di parole: il programma non include alcuna funzione di auto-update. Non arriva da Windows Update, non compare nessun avviso, non succede niente. Chi l’ha installato una volta nel 2022 — o chi se l’è trovato già installato dal tecnico che ha configurato le macchine — ha ancora oggi quella versione lì.
Il risultato è che in un ufficio con sei o dieci postazioni sono verosimilmente tutte nel perimetro, e nessuno lo sa.
E il vettore non è esotico: è l’allegato compresso. Quello del fornitore, del commercialista, del cliente che manda le foto del cantiere. Cioè l’operatività normale di chi sta in amministrazione o in segreteria.
Nelle piccole imprese i software di utilità come 7-Zip vengono installati una volta, spesso da chi ha configurato inizialmente le macchine, e da quel momento nessuno li censisce né li aggiorna. Non avendo aggiornamento automatico, restano fermi alla versione originale per anni: quando esce una falla, tutte le postazioni sono contemporaneamente scoperte e non esiste in azienda un elenco di dove il programma sia installato.
Il perimetro reale, detto onestamente
Diciamo anche cosa questa notizia non è, perché su questi temi l’allarmismo fa più danni dell’informazione.
Per sfruttare la falla serve che qualcuno apra l’archivio. La documentazione lo dice chiaramente: lo sfruttamento richiede l’interazione dell’utente, cioè visitare una pagina malevola o aprire un file di archivio manipolato. Non è una porta aperta su internet che si spalanca da sola.
Inoltre, alla data di questo articolo non risulta sfruttamento confermato in attacchi reali, e il proof of concept che circola pubblicamente serve a riprodurre la condizione di crash: non è documentato come exploit funzionante e pronto all’uso.
Detto questo, la distanza fra “esiste il codice che riproduce il problema” e “qualcuno lo trasforma in qualcosa di utilizzabile” storicamente si misura in giorni. Ed è esattamente per questo che il CSIRT ha alzato l’allerta oggi e non tre settimane fa.
Cosa fare, in ordine
- Verifica la versione su ogni postazione: si apre 7-Zip e si guarda in Aiuto / Informazioni. Se il numero è inferiore a 26.02, quel PC è nel perimetro.
- Aggiorna alla 26.02 o successiva. Si scarica dal sito ufficiale del progetto, oppure — molto più veloce se le postazioni sono diverse — si apre PowerShell e si lancia
winget upgrade 7zip.7zip. - Fai il giro di tutte le macchine, comprese quelle che nessuno usa più ma restano accese, e il PC della segreteria che è quello che apre più allegati di tutti.
- Chiedi al fornitore del gestionale o del software di backup se il loro prodotto integra 7-Zip al proprio interno: in quel caso serve una patch loro, non la tua.
- Regola provvisoria per il personale, finché il giro non è completo: nessun archivio compresso aperto da mittenti non attesi, nemmeno se il nome del mittente sembra quello di un fornitore conosciuto.
In breve
Il CSIRT Italia ha segnalato oggi la disponibilità pubblica di un proof of concept per la CVE-2026-14266 di 7-Zip, punteggio 7,0: un archivio XZ costruito ad arte, se aperto, può portare all’esecuzione di codice sul computer. Vulnerabili tutte le versioni precedenti alla 26.02; la correzione è disponibile dal 25 giugno.
Serve che qualcuno apra il file, e non risulta sfruttamento confermato in attacchi reali. Ma 7-Zip non si aggiorna da solo, sta praticamente su ogni PC d’ufficio, e il vettore d’attacco è l’allegato compresso che l’amministrazione apre venti volte al giorno. È mezz’ora di lavoro sulle postazioni, da fare questa settimana.