Una fallada a LibreOffice i OpenOffice permet que un full de càlcul executi codi en obrir-lo, sense avís de macros

Què ha passat

El 5 d'octubre de 2026, LibreOffice va publicar les versions 26.2.5 i 26.8.0 amb la correcció de la vulnerabilitat CVE-2026-63277. Segons el seu avís de seguretat, LibreOffice Calc pot vincular un rang de cel·les a una font de dades externa i aquest vincle es desa al document. Un document manipulat podia indicar que el controlador de base de dades es carregués des d'una ubicació remota, de manera que en obrir el fitxer s'executava codi Java procedent d'aquesta ubicació.

Tres dies abans, el 2 d'octubre, el projecte Apache OpenOffice havia publicat un avís sobre una fallada equivalent, CVE-2026-59265, que qualifica de crítica: un document no fiable «pot executar codi arbitrari» en obrir-lo. Afecta totes les versions fins a la 4.1.16, l'última publicada.

Les fallades les van descobrir de manera independent Rick de Jager, de l'equip V12, i Thomas Rinsma i Edoardo Geraci, de Codean Labs, segons els avisos de tots dos projectes.

Què sabem

• LibreOffice: la fallada està corregida a les versions 26.2.5 i 26.8.0. LibreOffice recomana actualitzar a una d'aquestes o a una de posterior.
• Apache OpenOffice: encara no hi ha correcció. L'avís indica que arribarà amb la versió 4.1.17, que està en fase de proves. Fins aleshores, recomana desactivar la integració amb Java a les preferències del programa, cosa que impedeix l'atac, i, com a precaució addicional, no obrir fitxers d'origen no fiable.
• Sense avís de macros: segons The Hacker News, l'atac encadena funcions normals del programa i no mostra l'advertència de seguretat que apareix en obrir un document amb macros. Només funciona si el suport de Java està activat.
• Sense atacs coneguts: The Hacker News indica que només s'ha demostrat com a prova de concepte i que no hi ha informes d'ús en atacs reals. Els investigadors han publicat aquesta prova de concepte.

Què no sabem encara

• Quan sortirà OpenOffice 4.1.17. A 13 d'octubre, la pàgina de baixades d'Apache OpenOffice continua oferint la 4.1.16 com a versió actual.
• Si algú ja l'està aprofitant. No hi ha atacs confirmats, però els detalls tècnics i la prova de concepte són públics des de fa una setmana.

Per què importa

Moltes empreses han après a desconfiar dels documents que demanen «habilitar macros». Aquesta fallada se salta aquesta barrera: el fitxer no demana res, n'hi ha prou d'obrir-lo.

A més, el full de càlcul és un dels adjunts més habituals en el dia a dia d'una empresa: pressupostos, llistats, conciliacions, comandes. És just el tipus de fitxer que s'obre sense pensar-hi.

Què significa per a una pime

LibreOffice i OpenOffice són gratuïts, i per això és freqüent trobar-los en empreses petites, gestories i despatxos, de vegades instal·lats fa anys en alguns ordinadors i no en d'altres. A la pràctica:

• ningú no sap amb seguretat en quins equips estan instal·lats ni en quina versió;
• OpenOffice pot continuar en ordinadors antics encara que l'empresa ja treballi amb una altra suite;
• qui obre el full de càlcul que envia un «proveïdor» no té manera de veure que alguna cosa va malament.

La bona notícia és que la solució és senzilla i no requereix coneixements tècnics: actualitzar, o desactivar una opció.

Què hauria de fer la teva empresa aquesta setmana

1. Esbrina en quins ordinadors hi ha LibreOffice o OpenOffice. Si teniu proveïdor d'informàtica, demana-li la llista amb la versió de cada equip.
2. Actualitza LibreOffice a la versió 26.2.5 o 26.8.0, o a una de posterior. Es comprova al menú Ajuda › Quant al LibreOffice.
3. Si feu servir Apache OpenOffice, desactiva Java a les opcions del programa, com recomana el mateix projecte, fins que surti la versió 4.1.17. Valora també si us compensa passar a LibreOffice, que sí que té pedaç.
4. Recorda a l'equip que no obri fulls de càlcul que arribin sense esperar-los, encara que semblin d'un client o proveïdor, i que pregunti per un altre canal si té dubtes. La nostra guia per detectar phishing a les gestories (en castellà) dona pistes que serveixen per a qualsevol oficina.