Un fallo en LibreOffice e OpenOffice permite que unha folla de cálculo execute código ao abrila, sen aviso de macros

Que pasou

O 5 de outubro de 2026, LibreOffice publicou as versións 26.2.5 e 26.8.0 coa corrección da vulnerabilidade CVE-2026-63277. Segundo o seu aviso de seguridade, LibreOffice Calc pode vincular un rango de celas a unha fonte de datos externa e ese vínculo gárdase no documento. Un documento manipulado podía indicar que o controlador de base de datos se cargase desde unha localización remota, de xeito que ao abrir o ficheiro executábase código Java procedente desa localización.

Tres días antes, o 2 de outubro, o proxecto Apache OpenOffice publicara un aviso sobre un fallo equivalente, CVE-2026-59265, que cualifica de crítico: un documento non fiable «pode executar código arbitrario» ao abrilo. Afecta a todas as versións ata a 4.1.16, a última publicada.

Os fallos descubrírono de forma independente Rick de Jager, do equipo V12, e Thomas Rinsma e Edoardo Geraci, de Codean Labs, segundo os avisos de ambos os proxectos.

Que sabemos

• LibreOffice: o fallo está corrixido nas versións 26.2.5 e 26.8.0. LibreOffice recomenda actualizar a unha delas ou a unha posterior.
• Apache OpenOffice: aínda non hai corrección. O aviso indica que chegará coa versión 4.1.17, que está en fase de probas. Ata entón, recomenda desactivar a integración con Java nas preferencias do programa, o que impide o ataque, e, como precaución adicional, non abrir ficheiros de orixe non fiable.
• Sen aviso de macros: segundo The Hacker News, o ataque encadea funcións normais do programa e non mostra a advertencia de seguridade que aparece ao abrir un documento con macros. Só funciona se o soporte de Java está activado.
• Sen ataques coñecidos: The Hacker News indica que só se demostrou como proba de concepto e que non hai informes de uso en ataques reais. Os investigadores publicaron esa proba de concepto.

Que non sabemos aínda

• Cando sairá OpenOffice 4.1.17. A 13 de outubro, a páxina de descargas de Apache OpenOffice segue ofrecendo a 4.1.16 como versión actual.
• Se alguén o está aproveitando xa. Non hai ataques confirmados, pero os detalles técnicos e a proba de concepto son públicos desde hai unha semana.

Por que importa

Moitas empresas aprenderon a desconfiar dos documentos que piden «habilitar macros». Este fallo sáltase esa barreira: o ficheiro non pide nada, abonda con abrilo.

Ademais, a folla de cálculo é un dos anexos máis habituais no día a día dunha empresa: orzamentos, listaxes, conciliacións, pedidos. É xusto o tipo de ficheiro que se abre sen pensalo.

Que significa para unha peme

LibreOffice e OpenOffice son gratuítos, e por iso é frecuente atopalos en empresas pequenas, xestorías e despachos, ás veces instalados hai anos nalgúns ordenadores e non noutros. Na práctica:

• ninguén sabe con seguridade en que equipos están instalados nin en que versión;
• OpenOffice pode seguir en ordenadores antigos aínda que a empresa xa traballe con outra suite;
• quen abre a folla de cálculo que envía un «provedor» non ten forma de ver que algo vai mal.

A boa nova é que a solución é sinxela e non require coñecementos técnicos: actualizar, ou desactivar unha opción.

Que debería facer a túa empresa esta semana

1. Descubre en que ordenadores hai LibreOffice ou OpenOffice. Se tedes provedor de informática, pídelle a lista coa versión de cada equipo.
2. Actualiza LibreOffice á versión 26.2.5 ou 26.8.0, ou a unha posterior. Compróbase no menú Axuda › Acerca de LibreOffice.
3. Se usades Apache OpenOffice, desactiva Java nas opcións do programa, como recomenda o propio proxecto, ata que saia a versión 4.1.17. Valora tamén se vos compensa pasar a LibreOffice, que si ten parche.
4. Lémbralle ao equipo que non abra follas de cálculo que cheguen sen esperalas, aínda que parezan dun cliente ou provedor, e que pregunte por outra canle se ten dúbidas. A nosa guía para detectar phishing nas xestorías (en castelán) dá pistas que serven para calquera oficina.