LibreOffice יודעת לשאול. כשגיליון מכיל מאקרו, פס אזהרה נפתח בראש החלון ומבקש אישור לפני שמריצים אותו, וזה המחסום שרוב האנשים מכירים. החולשה שתוקנה בתוכנה בשבוע שעבר עוקפת את השאלה הזאת לגמרי: פותחים את הקובץ, והקוד של התוקף רץ.

מה קרה

ב-Calc, הגיליון האלקטרוני של החבילה, אפשר לקשור טווח תאים למקור נתונים חיצוני כדי שיתרענן לבד. הקישור נשמר בתוך הקובץ, והוא יכול להצביע על כתובת אינטרנט. כשפותחים את הגיליון הטווח מתרענן, התוכנה הולכת לכתובת ומורידה משם קובץ חיבור למסד נתונים. הקובץ הזה יכול לציין איזה מנגנון חיבור להפעיל ומאיפה לקחת את הקוד שלו, כולל משרת של התוקף, והתוכנה מורידה את הקוד ומריצה אותו בתוך עצמה.

כל שלב כזה הוא פיצ'ר שעובד בדיוק כמו שתוכנן. לפי החוקרים הבעיה היא שביחד הם מגיעים להרצת קוד בלי שאף אחד שאל אם אתם סומכים על המסמך. המסלול עובד רק כשתמיכת Java מופעלת בתוכנה, ובהדגמה שפורסמה הקוד פשוט פתח את המחשבון, קוד מחליף לא מזיק שממחיש שהשרשרת עובדת. החוקרים בדקו אותה בווינדוס ובלינוקס, ואין דיווח על שימוש בשיטה במתקפה אמיתית.

LibreOffice פרסמה את התיקון ב-5 באוקטובר וסימנה את החולשה CVE-2026-63277. ההמלצה שלה היא לעבור לגרסה 26.2.5 או 26.8.0, וכל הגרסאות שלפניהן חשופות. התיקון דורש שרכיב בנתיב הקוד של Java יהיה קובץ מקומי, כך שהפניה לשרת מרוחק נדחית מראש. את החולשה דיווחו במקביל Rick de Jager מצוות V12, ו-Thomas Rinsma ו-Edoardo Geraci מ-Codean Labs, והתיקון נכתב בידי Caolán McNamara מ-Collabora Productivity.

ב-Apache OpenOffice המצב אחר. אותה חולשה מסומנת שם CVE-2026-59265 ועדיין אין לה תיקון: לפי בולטין האבטחה של הפרויקט היא נוגעת בכל הגרסאות עד 4.1.16 ועד בכלל, שהיא הגרסה הנוכחית, והתיקון מתוכנן ל-4.1.17 שעוד נמצאת בבדיקות.

למה זה חשוב לכם

החבילות האלה הן מה שמתקינים בבית, בעסק קטן ובבית ספר כשלא רוצים לשלם על Office, והן פותחות גם קבצים של אקסל. גיליון שמגיע במייל הוא הדבר הכי שגרתי שיש: הצעת מחיר, טופס מספק, קובץ מרואה החשבון. כאן אין פס צהוב שאפשר להתעלם ממנו או ללחוץ עליו בטעות, כי אף שאלה לא נשאלת.

מה עושים?

ב-LibreOffice עדכנו לגרסה 26.2.5 או 26.8.0. בתפריט העזרה יש בדיקת עדכונים, ואפשר גם להוריד את הגרסה העדכנית ישירות מאתר הפרויקט.

ב-OpenOffice, עד שייצא התיקון, כבו את תמיכת Java בהגדרות התוכנה, במדור המתקדם של חלון האפשרויות. זה חוסם את המסלול הזה, ורוב המשתמשים בבית לא צריכים את התמיכה הזאת בכלל.

עד שעדכנתם, אל תפתחו גיליונות ממי שלא ביקשתם ממנו כלום. המתקפה מתחילה בפתיחת הקובץ, ולכן זה גם המקום לעצור אותה.

הגרסה שמותקנת אצלכם היא ההגנה כאן, לא תשומת הלב שלכם.