Une feuille de calcul malveillante peut exécuter automatiquement du code Java dans LibreOffice ou Apache OpenOffice à l'ouverture, ce qui constitue un risque de sécurité grave.
Des feuilles de calcul malveillantes peuvent exécuter du code Java
Une feuille de calcul malveillante peut exécuter du code Java dès son ouverture dans LibreOffice ou Apache OpenOffice, sans avertissement, lorsque la prise en charge de Java est activée. Les vulnérabilités présentes dans ces deux suites bureautiques permettent à une feuille de calcul de devenir un point d'entrée pour du code malveillant.Des vulnérabilités découvertes par plusieurs chercheurs
La découverte a été signalée de manière indépendante par Rick de Jager, membre de l'équipe V12, ainsi que par Thomas Rinsma et Edoardo Geraci, de Codean Labs. Ces derniers ont également étudié le problème dans Apache OpenOffice, et l'avis publié pour ce second logiciel crédite les trois chercheurs.Comment fonctionne l'attaque
Le point de départ est une plage de données de base de données, c'est-à-dire un ensemble de cellules alimentées par une source externe. Cette fonction permet d'importer des informations et de les mettre à jour automatiquement. La feuille de calcul fait référence à un fichier ODB, un document de base de données, au moyen d'une adresse intégrée à la feuille. À l'ouverture, la mise à jour déclenche la récupération de ce fichier.Le déclenchement de l'exécution
Ce fichier peut contenir les paramètres d'un pilote JDBC, le composant Java chargé d'assurer la communication avec une base de données. Il peut aussi pointer vers une archive JAR contenant le code du pilote, y compris lorsque cette archive est hébergée sur un serveur distant. L'enchaînement de ces opérations constitue le cœur de l'attaque.Java doit être activé pour que l'attaque fonctionne
La condition technique reste déterminante : Java doit être activé dans la suite bureautique. Le risque décrit dépend donc de la configuration du logiciel utilisé pour ouvrir le fichier. Présenter chaque installation comme automatiquement exploitable reviendrait à occulter un détail essentiel pour évaluer l'exposition réelle.Des démonstrations illustrent la vulnérabilité en action
Les démonstrations rapportées par V12 utilisent le lancement de la calculatrice pour matérialiser l'exécution de code. Cette action sert de preuve observable. Elle ne limite pas pour autant la portée de la vulnérabilité, puisque le mécanisme permet l'exécution d'un autre programme Java choisi par l'attaquant.La vulnérabilité touche plusieurs systèmes d'exploitation
Les chercheurs rapportent des tests sous Windows et Linux. Leur analyse indique que le processus ne dépend pas d'un seul système d'exploitation. Toutefois, les éléments fournis ne documentent aucune campagne utilisant actuellement ces failles. La disponibilité annoncée des démonstrations ne constitue donc pas une preuve de compromissions déjà survenues.LibreOffice a publié un correctif
Pour LibreOffice, le problème porte l'identifiant CVE-2026-63277. L'avis de sécurité, annoncé le 5 octobre 2026, indique que les versions 26.2.5 et 26.8.0 contiennent le correctif. Les utilisateurs doivent installer une version corrigée de leur branche ou une version ultérieure.Apache OpenOffice nécessite une modification de configuration
La situation d'Apache OpenOffice exige une mesure de configuration immédiate. L'avis daté du 2 octobre 2026 classe la vulnérabilité CVE-2026-59265 comme critique et indique que les versions jusqu'à 4.1.16 sont concernées. Il annonce un correctif attendu dans la version 4.1.17, actuellement en cours de finalisation. En attendant, la désactivation de l'intégration de Java dans les préférences empêche l'attaque décrite.
