Un fallo en LibreOffice y OpenOffice permite que una hoja de cálculo ejecute código al abrirla, sin aviso de macros

Qué ha pasado

El 5 de octubre de 2026, LibreOffice publicó las versiones 26.2.5 y 26.8.0 con la corrección de la vulnerabilidad CVE-2026-63277. Según su aviso de seguridad, LibreOffice Calc puede vincular un rango de celdas a una fuente de datos externa y ese vínculo se guarda en el documento. Un documento manipulado podía indicar que el controlador de base de datos se cargara desde una ubicación remota, de modo que al abrir el archivo se ejecutaba código Java procedente de esa ubicación.

Tres días antes, el 2 de octubre, el proyecto Apache OpenOffice había publicado un aviso sobre un fallo equivalente, CVE-2026-59265, que califica de crítico: un documento no fiable «puede ejecutar código arbitrario» al abrirlo. Afecta a todas las versiones hasta la 4.1.16, la última publicada.

Los fallos los descubrieron de forma independiente Rick de Jager, del equipo V12, y Thomas Rinsma y Edoardo Geraci, de Codean Labs, según los avisos de ambos proyectos.

Qué sabemos

• LibreOffice: el fallo está corregido en las versiones 26.2.5 y 26.8.0. LibreOffice recomienda actualizar a una de ellas o a una posterior.
• Apache OpenOffice: no hay corrección todavía. El aviso indica que llegará con la versión 4.1.17, que está en fase de pruebas. Hasta entonces, recomienda desactivar la integración con Java en las preferencias del programa, lo que impide el ataque, y, como precaución adicional, no abrir archivos de origen no fiable.
• Sin aviso de macros: según The Hacker News, el ataque encadena funciones normales del programa y no muestra la advertencia de seguridad que aparece al abrir un documento con macros. Solo funciona si el soporte de Java está activado.
• Sin ataques conocidos: The Hacker News indica que solo se ha demostrado como prueba de concepto y que no hay informes de uso en ataques reales. Los investigadores han publicado esa prueba de concepto.

Qué no sabemos todavía

• Cuándo saldrá OpenOffice 4.1.17. A 13 de octubre, la página de descargas de Apache OpenOffice sigue ofreciendo la 4.1.16 como versión actual.
• Si alguien lo está aprovechando ya. No hay ataques confirmados, pero los detalles técnicos y la prueba de concepto son públicos desde hace una semana.

Por qué importa

Muchas empresas han aprendido a desconfiar de los documentos que piden «habilitar macros». Este fallo se salta esa barrera: el archivo no pide nada, basta con abrirlo.

Además, la hoja de cálculo es uno de los adjuntos más habituales en el día a día de una empresa: presupuestos, listados, conciliaciones, pedidos. Es justo el tipo de archivo que se abre sin pensarlo.

Qué significa para una pyme

LibreOffice y OpenOffice son gratuitos, y por eso es frecuente encontrarlos en empresas pequeñas, gestorías y despachos, a veces instalados hace años en algunos ordenadores y no en otros. En la práctica:

• nadie sabe con seguridad en qué equipos están instalados ni en qué versión;
• OpenOffice puede seguir en ordenadores antiguos aunque la empresa ya trabaje con otra suite;
• quien abre la hoja de cálculo que envía un «proveedor» no tiene forma de ver que algo va mal.

La buena noticia es que la solución es sencilla y no requiere conocimientos técnicos: actualizar, o desactivar una opción.

Qué debería hacer tu empresa esta semana

1. Averigua en qué ordenadores hay LibreOffice u OpenOffice. Si tenéis proveedor de informática, pídele la lista con la versión de cada equipo.
2. Actualiza LibreOffice a la versión 26.2.5 o 26.8.0, o a una posterior. Se comprueba en el menú Ayuda › Acerca de LibreOffice.
3. Si usáis Apache OpenOffice, desactiva Java en las opciones del programa, como recomienda el propio proyecto, hasta que salga la versión 4.1.17. Valora también si os compensa pasar a LibreOffice, que sí tiene parche.
4. Recuerda al equipo que no abra hojas de cálculo que lleguen sin esperarlas, aunque parezcan de un cliente o proveedor, y que pregunte por otro canal si tiene dudas. Nuestra guía para detectar phishing en gestorías da pistas que sirven para cualquier oficina.