Таблиця, яка запускає код під час відкриття, без жодного попередження про макроси

Кожен, хто давно працює в LibreOffice, має один рефлекс: якщо документ просить увімкнути макроси, кажемо ні. Тут цей рефлекс не рятує. Належним чином зібрана таблиця запускає код на вашому комп'ютері тієї ж миті, коли ви двічі клацнули по ній, і вас ні про що не запитують.

Прийом поєднує три можливості, кожна з яких окремо цілком розумна. Calc дозволяє діапазону комірок підтягувати дані із зовнішньої бази. Документ може вказати, який драйвер бази даних використати. А якщо Java увімкнена, цей драйвер можна завантажити з вебадреси, яку обирає сам документ. Ви відкриваєте файл, і код Java зловмисника виконується. Ваду позначено як CVE-2026-63277, вона стосується всіх версій LibreOffice до 26.2.5 і 26.8.0, а знайшли її Рік де Яхер із команди безпеки V12 разом із Томасом Рінсмою та Едоардо Джераці з Codean Labs. Виправлення написав Каолан Макнамара з Collabora, і воно просто забороняє шляху до драйвера вказувати кудись, окрім вашого власного диска.

В Apache OpenOffice та сама проблема під номером CVE-2026-59265, у версії 4.1.16 і всіх попередніх, і готового випуску для встановлення поки немає. Версія 4.1.17 досі є кандидатом на реліз. Поки що порада самого проєкту така: відкрити Сервіс, Параметри, OpenOffice, Java і зняти позначку "Використовувати середовище виконання Java". Робочий доказ концепції вже опубліковано, тож теорією це залишатиметься недовго.

Якщо ви користуєтеся LibreOffice, оновіть його і не чекайте на нагадування від вбудованого оновлювача. Перевірка оновлень програм у Tendvane працює через winget, де LibreOffice є, тож новіша збірка за один клік на тому самому екрані, що й решта ваших програм.