オープンソースのオフィスソフト「LibreOffice」で、細工された文書を開いた際にファイルの読み書きや情報送信、コード実行につながる6件の脆弱性が公表されました。
修正は「LibreOffice 26.2.5」と「26.8.0」に含まれています。
26.2系を利用している場合は26.2.5以降へ更新し、更新が難しい場合も、信頼できない文書を不用意に開かないよう注意が必要です。
LibreOfficeで公表された6件の脆弱性
脆弱性はいずれも、文書に埋め込まれたリンクやデータソースなどを悪用するものです。
深刻度は最大で「High」と評価されており、なかでもCalcの外部データソースへのリンクを悪用する脆弱性は、文書を開くだけでリモートコード実行に至る可能性があります。
| CVE番号 | 概要 | CVSS 4.0 |
|---|---|---|
| CVE-2026-63277 | Calcのリンクを悪用し、リモートのJavaコードが実行される可能性 | 8.5（High） |
| CVE-2026-63266 | 埋め込みFirebirdデータベースが、任意の場所にファイルを書き込む可能性 | 6.8 |
| CVE-2026-63267 | CSVデータソース経由でローカルファイルを読み込んだり、意図しない通信を行ったりする可能性 | 6.7 |
| CVE-2026-63268 | ローカルのテキストファイルをデータベースとして読み込む可能性 | 6.7 |
| CVE-2026-63269 | Linux環境でメディアリンクを悪用し、ローカルファイルなどを読み込む可能性 | 6.7 |
| CVE-2026-63270 | URLを介して環境変数やINIファイルの値が外部へ送信される可能性 | 6.7 |
特に注意したいCalc経由のコード実行
CVE-2026-63277では、Calc文書に記載された外部データソースへのリンクに、リモートの場所からJavaデータベースドライバーを読み込ませる指定が可能でした。
そのため、攻撃者が用意した文書を開くと、リンク先のJavaコードが実行されるおそれがあります。
この問題は、Apache OpenOfficeで報告されたコード実行脆弱性「CVE-2026-59265」と同じ内容とされています。
公表時点でApache OpenOffice側の脆弱性は未修正とされていたため、両製品を利用している場合は、それぞれの修正状況を確認してください。
利用者が取るべき対応
26.2系の利用者は、LibreOffice 26.2.5以降へ更新してください。
26.8系では初期版の26.8.0で修正済みです。
現在のバージョンは、LibreOfficeの「ヘルプ」メニューにあるバージョン情報などから確認できます。
更新するまでは、メールの添付ファイルや共有サイトから入手した文書など、出所が確かでないファイルを開かないことが重要です。
なお、26.2系のサポート期間は11月30日までと案内されています。
継続してセキュリティ修正を受けるためにも、利用環境との互換性を確認したうえで、26.8系への移行を検討してください。
まとめ
今回の更新では、Calcのリンクを悪用したコード実行を含む6件の脆弱性が修正されました。
26.2系は26.2.5以降へ更新し、未更新の環境では不審な文書を開かないようにしてください。