Un tableur qui exécute du code à l'ouverture, sans le moindre avertissement sur les macros

Quiconque utilise LibreOffice depuis un moment a acquis un réflexe : si un document demande d'activer les macros, on refuse. Ce réflexe ne sert à rien ici. Un classeur construit comme il faut peut exécuter du code sur votre machine dès le double-clic, sans jamais vous demander d'accorder la moindre confiance.

L'astuce assemble trois fonctions parfaitement raisonnables prises séparément. Calc permet à une plage de cellules de récupérer des données dans une base externe. Un document peut indiquer quel pilote de base de données utiliser. Et si Java est activé, ce pilote peut être téléchargé depuis une adresse web choisie par le document. Vous ouvrez le fichier et le code Java de l'attaquant s'exécute. La faille porte l'identifiant CVE-2026-63277, elle touche toutes les versions de LibreOffice antérieures à 26.2.5 et 26.8.0, et elle a été découverte par Rick de Jager de l'équipe de sécurité V12 ainsi que par Thomas Rinsma et Edoardo Geraci de Codean Labs. Caolan McNamara, chez Collabora, a écrit le correctif, qui empêche le chemin du pilote de pointer ailleurs que sur votre propre disque.

Apache OpenOffice présente le même problème sous l'identifiant CVE-2026-59265, dans la version 4.1.16 et toutes les précédentes, et aucune version finale n'est encore disponible. La 4.1.17 en est au stade de candidate à la publication. En attendant, le conseil du projet lui-même est d'ouvrir Outils, Options, OpenOffice, Java et de décocher "Utiliser un environnement d'exécution Java". Une démonstration fonctionnelle a été publiée, donc cela ne restera pas théorique longtemps.

Si vous utilisez LibreOffice, mettez-le à jour, et n'attendez pas le rappel du module de mise à jour intégré. La vérification des mises à jour d'applications de Tendvane s'appuie sur winget, qui propose LibreOffice : la nouvelle version est à un clic, depuis le même écran que le reste de vos logiciels.