Les suites bureautiques LibreOffice et OpenOffice contiennent une faille de sécurité à haut risque qui permet aux attaquants d'injecter du code malveillant via des documents manipulés. Le projet LibreOffice a publié une liste des failles de sécurité corrigées dans les dernières versions du logiciel. La plus grave concerne le tableur Calc. Les documents Calc peuvent lier plusieurs cellules à des sources de données externes, le lien étant intégré au document. Le problème est lié au mécanisme d'accès aux sources de données externes. Un fichier spécialement conçu peut contenir une référence à une source externe et spécifier le pilote de base de données Java à utiliser. Cette vulnérabilité, référencée CVE-2026-63277, affecte le tableur Calc. Elle est classée 8,5 sur l'échelle CVSS 4.0, ce qui correspond à une menace à haut risque. Par conséquent, à l'ouverture d'un document, du code Java téléchargé depuis une source externe peut être exécuté. L'attaque ne nécessite donc aucune installation de logiciel supplémentaire de la part de l'utilisateur ; un document malveillant suffit. LibreOffice a implémenté un correctif exigeant que les chemins d'accès aux classes Java soient des adresses de fichiers. Ceci vise à empêcher l'exploitation de ce mécanisme pour exécuter du code provenant d'une source non autorisée.

Cette même vulnérabilité affecte également Apache OpenOffice versions 4.1.16 et antérieures, mais elle possède un numéro CVE distinct (CVE-2026-59265), sans évaluation CVSS dédiée. Apache la qualifie néanmoins de « critique ». Les développeurs d'Apache indiquent que la désactivation temporaire de l'intégration de Java Runtime (JR) permet de prévenir les attaques jusqu'à l'installation d'une mise à jour. LibreOffice, quant à lui, ne propose aucune solution de contournement. Les vulnérabilités restantes ont été signalées exclusivement par LibreOffice ; elles n’ont pas été classées comme des menaces à haut risque et sont donc considérées comme présentant un risque moyen. Elles incluent la possibilité d’écrire dans des fichiers arbitraires, de lire des fichiers locaux et d’effectuer des attaques SSRF. Ces problèmes concernent la gestion des données dans Calc, les fournisseurs SQL et CSV, les fonctions Firebird et la gestion des listes de lecture multimédias et HLS. Les vulnérabilités individuelles ont obtenu des scores CVSS compris entre 6,7 et 6,8. Elles sont donc moins graves que la vulnérabilité d’exécution de code externe.

LibreOffice indique que les versions 26.2.5 et 26.8.0 corrigent les vulnérabilités. La version 26.2.5 est disponible au téléchargement depuis le 23 juillet dernier, mais la version actuellement en développement est la 26.2.6, dont la sortie est prévue le 24 septembre 2026. La version 26.8.0 a été publiée le 26 août. Toute personne n'ayant pas encore installé les dernières versions est invitée à le faire dès maintenant afin de minimiser les risques d'attaque. Apache indique que le correctif sera inclus dans OpenOffice 4.1.17. Cette version est actuellement en phase de test candidate ; la Fondation Apache recommande de l'installer dès sa disponibilité. Cependant, OpenOffice n'étant plus maintenu que de façon minimale, il est conseillé de passer à LibreOffice afin de bénéficier, par exemple, d'un accès rapide aux mises à jour de sécurité.