LibreOfficeとOpenOfficeに警告なしでコード実行可能な脆弱性、Java連携を悪用

要点

• LibreOfficeおよびApache OpenOfficeで、表計算ファイルを開くだけで任意のコードが実行される脆弱性が判明した。

• 通常のマクロ実行時のような警告画面は表示されず、Java機能が有効な場合に正規機能の連鎖を通じてコード実行に至る。

• 現時点ではセキュリティ研究者による概念実証にとどまり実際の攻撃報告はないが、WindowsとLinuxの双方が対象となる。

• LibreOfficeは修正済み版をリリースした一方、Apache OpenOfficeは現行の全バージョンが影響を受け、Java無効化などの自衛策が案内されている。

• オープンソースのオフィススイート「LibreOffice」および「Apache OpenOffice」において、悪意を持って作成された表計算ファイルを開くだけで外部コードが実行される脆弱性が、複数のセキュリティ研究者による調査で明らかになった。2026年10月に報告されたもので、通常のマクロ実行時に表示される安全確認の警告が出ないまま処理が実行される。現時点では攻撃手法を実証した検証段階であり、実際のサイバー攻撃における悪用は確認されていない。

正規機能の連鎖でセキュリティ警告を回避

今回報告された脆弱性は、単体では正常に動作する正規機能を組み合わせることで成立している点が特徴だ。起点となるのは、表計算ソフト「Calc」に備わる「データベース範囲」という機能である。これは外部データを取り込んでセルを自動更新する仕様で、外部参照先としてWeb上のURLを指定し、データベースファイル（ODBファイル：オフィススイート用のデータベース形式）を取得させることができる。

利用者がファイルを開くとデータの自動更新が作動し、指定されたURLからODBファイルがダウンロードされる。このODBファイル内には、Java環境でデータベースに接続する「JDBCドライバー」の指定と、その本体であるJARファイル（Javaプログラムをまとめたファイル）のリモート上の所在を記述できる。

プログラムは指示に従ってJARファイルを取得し、内部でドライバーを起動する。このドライバーが悪意あるコードだった場合、ソフトウェアのプロセス内で直接実行されることになる。個々の処理は正常な仕様だが、それらが連携することで、マクロ（定型作業を自動化するプログラム）の実行前に出るような信頼確認の警告を一切挟まずに外部コードが実行されてしまうと研究者は説明している。

OSを問わず成立、電卓アプリ起動で実証

本脆弱性が機能するのは、ソフトウェアのJavaサポートが有効になっている環境に限られる。セキュリティ研究チームが公開した概念実証（PoC：脆弱性の実在を証明する検証コード）では、無害な例としてOS付属の電卓アプリを自動起動させるデモが行われたが、同じ経路で任意のJavaコードを実行できるという。

研究者はWindowsとLinuxの両環境で動作を確認しており、特定のオペレーティングシステムに依存しない問題であることが示された。実証デモでは検証の都合上、悪意あるファイル群を同一端末内に置いて再現されたが、実際の攻撃シナリオでは外部サーバー上にファイルが配置されるとみられている。

開発元の修正状況と求められる回避策

脆弱性への対応状況は、ソフトウェアごとに異なっている。

LibreOfficeでは本件が「CVE-2026-63277」として追跡され、10月5日公開の更新版ですでに修正された。開発元のThe Document Foundationは、バージョン「26.2.5」または「26.8.0」へのアップデートを推奨しており、それより前のバージョンが影響を受ける。この修正パッチはCollabora ProductivityのCaolán McNamara氏が作成した。報告はV12セキュリティチームのRick de Jager氏と、Codean LabsのThomas Rinsma氏、Edoardo Geraci氏がそれぞれ独立して行った。

一方、Apache OpenOfficeの同一の欠陥は「CVE-2026-59265」として追跡されているが、現行バージョン「4.1.16」を含む全バージョンが影響を受け、現時点では未修正となっている。Apache側はCodean Labsからの報告をクレジットしている。プロジェクト側はテスト中の次期バージョン「4.1.17」で修正予定と説明している。

Apache OpenOfficeの利用者には、修正版提供までの回避策として、設定からJava機能を無効化することや、信頼できないファイルを開かないことが案内されている。なお、V12チームは両ソフト向けの検証コードを公開しており、The Hacker Newsは両開発元にコメントを求めているという。