LibreOffice eta OpenOffice-ren akats batek kalkulu-orri bati kodea exekutatzen uzten dio, makroen abisurik gabe

Zer gertatu da

2026ko urriaren 5ean, LibreOffice-k 26.2.5 eta 26.8.0 bertsioak argitaratu zituen, CVE-2026-63277 ahultasunaren zuzenketarekin. Bere segurtasun-abisuaren arabera, LibreOffice Calc-ek gelaxka-barruti bat kanpoko datu-iturri batekin lot dezake, eta lotura hori dokumentuan gordetzen da. Manipulatutako dokumentu batek datu-basearen kontrolatzailea urruneko kokapen batetik kargatzeko adieraz zezakeen, eta, horrela, fitxategia irekitzean kokapen horretatik zetorren Java kodea exekutatzen zen.

Hiru egun lehenago, urriaren 2an, Apache OpenOffice proiektuak abisu bat argitaratu zuen akats baliokide bati buruz, CVE-2026-59265, kritikotzat jotzen duena: fidagarria ez den dokumentu batek «kode arbitrarioa exekuta dezake» irekitzean. 4.1.16 bertsiora arteko bertsio guztiei eragiten die, argitaratutako azkena baita.

Akatsak modu independentean aurkitu zituzten Rick de Jagerrek, V12 taldekoak, eta Thomas Rinsmak eta Edoardo Geracik, Codean Labs-ekoek, bi proiektuen abisuen arabera.

Zer dakigu

• LibreOffice: akatsa 26.2.5 eta 26.8.0 bertsioetan zuzenduta dago. LibreOffice-k horietako batera edo berriago batera eguneratzea gomendatzen du.
• Apache OpenOffice: oraindik ez dago zuzenketarik. Abisuaren arabera, 4.1.17 bertsioarekin iritsiko da, proba-fasean dagoena. Bitartean, programaren hobespenetan Javarekiko integrazioa desaktibatzea gomendatzen du, horrek erasoa eragozten baitu, eta, neurri gehigarri gisa, jatorri ez-fidagarriko fitxategirik ez irekitzea.
• Makroen abisurik gabe: The Hacker News-en arabera, erasoak programaren funtzio arruntak kateatzen ditu, eta ez du erakusten makroak dituen dokumentu bat irekitzean agertzen den segurtasun-abisua. Java euskarria aktibatuta badago bakarrik funtzionatzen du.
• Eraso ezagunik ez: The Hacker News-ek dio kontzeptu-proba gisa baino ez dela frogatu eta ez dagoela eraso errealetan erabili izanaren txostenik. Ikertzaileek kontzeptu-proba hori argitaratu dute.

Zer ez dakigu oraindik

• Noiz aterako den OpenOffice 4.1.17. Urriaren 13an, Apache OpenOffice-ren deskargen orriak 4.1.16 eskaintzen du oraindik uneko bertsio gisa.
• Norbait dagoeneko aprobetxatzen ari den. Ez dago eraso berretsirik, baina xehetasun teknikoak eta kontzeptu-proba duela astebete dira publikoak.

Zergatik da garrantzitsua

Enpresa askok ikasi dute «makroak gaitzeko» eskatzen duten dokumentuez mesfidatzen. Akats honek hesi hori saihesten du: fitxategiak ez du ezer eskatzen, nahikoa da irekitzea.

Gainera, kalkulu-orria enpresa baten eguneroko lanean ohikoenetako eranskina da: aurrekontuak, zerrendak, adiskidetzeak, eskaerak. Pentsatu gabe irekitzen den fitxategi mota da, hain zuzen.

Zer esan nahi du ETE batentzat

LibreOffice eta OpenOffice doakoak dira, eta horregatik ohikoa da enpresa txikietan, gestorietan eta bulegoetan aurkitzea, batzuetan duela urte batzuk ordenagailu batzuetan instalatuta eta beste batzuetan ez. Praktikan:

• inork ez daki ziur zer ekipotan dauden instalatuta ezta zer bertsiotan ere;
• OpenOffice ordenagailu zaharretan egon daiteke oraindik, nahiz eta enpresak beste suite batekin lan egin;
• «hornitzaile» batek bidalitako kalkulu-orria irekitzen duenak ez du zerbait gaizki doala ikusteko modurik.

Albiste ona da konponbidea erraza dela eta ez duela ezagutza teknikorik behar: eguneratu, edo aukera bat desaktibatu.

Zer egin beharko luke zure enpresak aste honetan

1. Jakin zer ordenagailutan dagoen LibreOffice edo OpenOffice. Informatika-hornitzailea baduzue, eskatu zerrenda, ekipo bakoitzaren bertsioarekin.
2. Eguneratu LibreOffice 26.2.5 edo 26.8.0 bertsiora, edo berriago batera. Laguntza › LibreOffice-ri buruz menuan egiaztatzen da.
3. Apache OpenOffice erabiltzen baduzue, desaktibatu Java programaren aukeretan, proiektuak berak gomendatzen duen bezala, 4.1.17 bertsioa atera arte. Baloratu, halaber, merezi duen LibreOffice-ra pasatzea, horrek adabakia baitu.
4. Gogorarazi taldeari ez irekitzeko espero ez dituzten kalkulu-orriak, nahiz eta bezero edo hornitzaile batenak diruditen, eta zalantzarik badute beste bide batetik galdetzeko. Gestorietan phishinga detektatzeko gure gida (gaztelaniaz) edozein bulegotarako balio duten pistak ematen ditu.