חולשה ב-Apache OpenOffice מאפשרת למסמך להריץ קוד על המחשב שפותח אותו. הציון הוא 8.8 מתוך 10, והיא דורשת מהקורבן דבר אחד: שיפתח את המסמך. נכון לרשומה גרסת התיקון, 4.1.17, עדיין לא שוחררה והיא בשלב מועמד לשחרור, ולכן ההקלה שהיצרן מציע היא מה שיש כרגע ביד.

מה החולשה?

OpenOffice היא חבילת מסמכים חינמית, ואחד הדברים שהיא יודעת לעשות הוא להריץ קוד Java בתוך מסמך. התכונה קיימת כדי לאפשר מסמכים שעושים משהו ולא רק מציגים טקסט: טפסים שמחשבים, מסמכים שמתחברים למקור נתונים.

כאן היא נעשית בעיה. לפי הרשומה, מסמך שהוכן במיוחד יכול לנצל את שילוב ה-Java הזה כדי לגרום להרצת קוד שרירותי, ובמילים של הרשומה גם קוד מרוחק. כלומר הקוד שירוץ אינו חייב לשבת בתוך המסמך, הוא יכול להיות משהו שהמסמך מביא מבחוץ ברגע שנפתח.

הסיווג שהרשומה נותנת הוא CWE-426, נתיב חיפוש שאינו מאובטח. ההסבר הפשוט: כשתוכנה צריכה לטעון רכיב, היא מחפשת אותו ברשימה של מקומות, בזה אחר זה. אם מקום שהתוקף שולט בו נכנס לרשימה הזאת, התוכנה תטען משם את מה שהוא הניח במקום את הרכיב האמיתי שחיפשה.

ומה שמעשי כאן הוא כמה מעט נדרש מהצד התוקף. אין צורך בהזדהות, אין צורך בגישה לרשת שלכם, ואין צורך בשרשרת מורכבת. צריך קובץ שיגיע אליכם ולחיצה כפולה. הדירוג מסמן את הלחיצה הזאת כדרישה למעורבות משתמש, וזה גם ההסבר ל-8.8 ולא ל-9.8.

מי מושפע?

הרשומה מונה את Apache OpenOffice בגרסה 4.1.16 ובכל מה שקדם לה. התיקון צפוי ב-4.1.17, ולפי הרשומה היא בשלב מועמד לשחרור ועוד לא יצאה.

זאת חולשה שנוגעת למשתמשים פרטיים ולא רק לארגונים, וזה מה שמייחד אותה. OpenOffice מותקן על מחשבים בבית, במשרדים קטנים ובמוסדות שבחרו בחבילה חינמית, ובישראל הוא נמצא בעיקר במקומות שלא רכשו חבילת מסמכים מסחרית. אם אינכם בטוחים שהוא אצלכם, שווה לבדוק. תוכנה כזאת מותקנת פעם אחת לפני שנים ונשארת.

וכדאי להבחין בין OpenOffice ל-LibreOffice. אלה שתי חבילות נפרדות שיצאו מאותו מקור בעבר, והרשומה הזאת מדברת על Apache OpenOffice.

האם מנוצלת בפועל?

נכון לעדכון של הרשומה ב-6 באוקטובר 2026, החולשה אינה מופיעה בקטלוג החולשות המנוצלות בפועל של CISA, סוכנות הסייבר האמריקאית. כלומר אין דיווח על ניצול, וזו אינה ראיה שאין כזה.

מה שכן ידוע הוא שהפרטים פומביים. החולשה פורסמה ב-2 באוקטובר 2026 ברשימת התפוצה oss-security, ושני התיקונים בקוד זמינים לצפייה במאגר של Apache. כשתיקון מתפרסם לפני שהגרסה המתוקנת יוצאת, הפער פועל לרעת המשתמש: מי שקורא את התיקון מבין את הבאג, ולמשתמש עוד אין לאן לעדכן.

זה בדיוק המצב שבו ההקלה שווה יותר מההמתנה לגרסה.

מה עושים?

1. כבו את שילוב ה-Java ב-OpenOffice. זו ההקלה שהיצרן מציין במפורש, והיא נמצאת בחלון ההעדפות של התוכנה, תחת הקטגוריה Java, בביטול הסימון של השימוש בסביבת הרצה של Java. לפי הרשומה הצעד הזה מונע את המתקפה.
2. בדקו אם אתם צריכים את התכונה בכלל. מי שפותח ב-OpenOffice מסמכי טקסט וגיליונות רגילים לא ישים לב שהיא כבויה. אם משהו אצלכם נשבר אחרי הכיבוי, זה אומר שיש לכם מסמך שמסתמך עליה, וגם את זה כדאי לדעת.
3. עד שתצא 4.1.17, אל תפתחו מסמכים ממקור שאינכם מכירים. היצרן מציין גם את זה כהקלה, ובמצב שבו אין גרסה מתוקנת זו לא המלצה כללית אלא ההגנה השנייה בפועל.
4. וכשתצא 4.1.17, עדכנו. את ההודעה על השחרור אפשר לעקוב בפתיל ברשימת הדיוור של Apache או בפרסום ב-oss-security, ששניהם מופיעים במקורות של הרשומה.