LibreOffice i OpenOffice z luką w Java

Arkusz, który uruchamia kod

W LibreOffice i Apache OpenOffice wykryto dwie podatności, które mogą doprowadzić do uruchomienia kodu po otwarciu odpowiednio przygotowanego pliku arkusza kalkulacyjnego. Co istotne, atak nie opiera się na klasycznym ostrzeżeniu o makrach — użytkownik może zobaczyć zwykły dokument i nie zostać uprzedzony, że coś jest nie tak.

Problem dotyczy integracji z Java i mechanizmu ładowania danych z zewnętrznych źródeł w arkuszach Calc. W praktyce złośliwy plik może wykorzystać legalne funkcje programu tak, by wymusić pobranie i uruchomienie kodu wskazanego przez atakującego.

Dwie różne luki, podobny efekt

Pierwsza z podatności, oznaczona jako CVE-2026-63277, dotyczy LibreOffice Calc. Druga, CVE-2026-59265, wpływa na Apache OpenOffice w wersji 4.1.16 i wcześniejszych.

W obu przypadkach łańcuch ataku zaczyna się od arkusza kalkulacyjnego zawierającego tak zwany database range — obszar komórek pobierający dane zewnętrzne i odświeżający je automatycznie. Taki arkusz może odwoływać się do pliku bazy danych ODB wskazanego adresem URL. Jeśli dokument zostanie otwarty, program pobiera ten plik, a następnie może załadować sterownik JDBC, którego kod znajduje się w JAR-ze lub na zdalnym serwerze.

Efekt? Program uruchamia kod atakującego we własnym procesie, bez typowego pytania o zaufanie do dokumentu.

LibreOffice już po łatce

W przypadku LibreOffice problem został już naprawiony. Producent zaleca aktualizację do wersji 26.2.5 lub nowszej, albo 26.8.0 lub nowszej.

Poprawka uszczelnia obsługę class path i wymusza, by wpisy prowadziły wyłącznie do lokalnych ścieżek typu file. To blokuje możliwość ładowania klas z odległych, kontrolowanych przez napastnika lokalizacji.

OpenOffice: na razie wyłącz Java

Sytuacja z Apache OpenOffice jest mniej komfortowa. Łatka jest dopiero przygotowywana, a wydanie 4.1.17 pozostaje w fazie testów. Do tego czasu najlepszym obejściem jest wyłączenie Java w ustawieniach programu, jeśli nie jest ona potrzebna.

To ważne zwłaszcza w środowiskach, gdzie użytkownicy regularnie otwierają załączniki i dokumenty od zewnętrznych nadawców. W takich warunkach nawet pojedynczy, nieostrożnie otwarty arkusz może stać się punktem wejścia do systemu.

Co powinni zrobić administratorzy

W praktyce warto zastosować kilka prostych zasad:

• zaktualizować LibreOffice do wersji objętej poprawką,
• wyłączyć Java w OpenOffice, jeśli nie jest używana,
• ograniczyć otwieranie nieznanych arkuszy z zewnętrznych źródeł,
• stosować zasadę najmniejszych uprawnień,
• izolować stanowiska, na których często analizuje się podejrzane pliki.

Badacze podkreślają też, że demonstracja ataku została pokazana na Windows i Linux, więc problem nie jest związany z jednym systemem operacyjnym. W testach złośliwe komponenty mogły znajdować się lokalnie, ale w realnym scenariuszu zostałyby najpewniej umieszczone na serwerze kontrolowanym przez napastnika.

Dlaczego to groźne

Najbardziej zdradliwe w tej kampanii jest to, że wykorzystuje ona zwykłe funkcje pakietów biurowych. Użytkownik nie musi uruchamiać makra ani klikać w podejrzany przycisk. Wystarczy otwarcie dokumentu, który na pierwszy rzut oka wygląda jak zwykły arkusz kalkulacyjny.

To kolejny przykład na to, że nawet oprogramowanie biurowe — jeśli korzysta z rozbudowanych mechanizmów integracji i zewnętrznych źródeł danych — może stać się wektorem ataku o skutkach podobnych do klasycznego malware.