LibreOffice与OpenOffice漏洞:恶意电子表格可在无宏警告下静默执行代码

安全研究人员披露，LibreOffice和Apache OpenOffice存在可被恶意电子表格利用的高危漏洞，攻击者代码可在文件打开瞬间执行，全程不触发用户熟知的宏安全警告。漏洞分别被追踪为CVE-2026-63277（LibreOffice）和CVE-2026-59265（Apache OpenOffice）。

攻击链：正常功能叠加为代码执行

攻击利用的是Calc中“数据库范围”（database range）功能——一种可自动从外部数据源拉取并刷新数据的单元格区域。攻击者将外部源指向托管在远程服务器上的ODB数据库文件，该ODB文件进而指定一个Java数据库驱动（JDBC driver），并将其代码位置指向远程JAR文件。当受害者打开电子表格时，程序自动完成数据库范围刷新、ODB下载、JAR加载与驱动启动的完整链条，最终在LibreOffice或OpenOffice进程内部执行攻击者的Java代码。

每一环节单独来看均为设计功能，但组合后绕过了程序在运行宏之前要求用户确认文档可信的安全提示。由于攻击依赖Java运行时集成，攻击仅对启用了Java支持的安装环境有效。研究人员的概念验证（PoC）仅打开计算器程序作为无害演示，但同一路径可执行任意Java代码，且在Windows和Linux上均测试成功，不限于特定操作系统。

修复状态：LibreOffice已修补，OpenOffice仍待更新

LibreOffice已于10月5日发布修复，在版本26.2.5和26.8.0中要求Java类路径条目必须为文件URL，从而阻断远程代码加载路径。所有早于上述版本的安装均受影响，用户应尽快升级。该漏洞的CVSS 4.0基础评分为8.5，属高危级别。

Apache OpenOffice尚未发布修复。截至当前版本4.1.16及所有早期版本均受影响，修复版本4.1.17仍处于候选发布阶段。在4.1.17正式发布前，Apache官方建议用户通过Preferences对话框禁用Java运行时集成，或避免打开不可信来源的电子表格。

披露与研究归属

LibreOffice漏洞由V12 Security团队的Rick de Jager以及Codean Labs的Thomas Rinsma和Edoardo Geraci独立报告。Apache在OpenOffice的公告中致谢Codean Labs的研究人员。V12团队已公开针对两个程序的概念验证文件。LibreOffice的修复由Collabora Productivity的Caolán McNamara编写。

目前尚无该漏洞被用于真实攻击的报告，但PoC已公开，技术路径的暴露意味着实际威胁风险正在上升。

信息来源：

• The Hacker News

• Apache OpenOffice安全邮件列表

• Red Hat Bugzilla