ב-LibreOffice Calc אפשר לקשר טווח תאים אל מקור נתונים חיצוני, והקישור הזה נשמר בתוך המסמך. לפי הרשומה, מסמך יכול לנקוב בקישור כזה בשם מנהל התקן Java שייטען ממקום מרוחק, ולכן פתיחה של הקובץ מריצה קוד Java שמגיע מאותו מקום. הציון שניתן לחולשה הוא 8.5 מתוך 10.
מה החולשה?
גיליון אלקטרוני אינו חייב להכיל את הנתונים שלו בתוכו. אפשר להגיד לתא או לטווח תאים "המידע שלך יושב במסד נתונים", והגיליון יודע ללכת ולהביא אותו. כדי לדבר עם מסד נתונים כזה, Calc צריך רכיב מתווך: מנהל התקן, תוכנה קטנה שמתרגמת בין הגיליון ובין המסד המסוים.
הפרט שחשוב כאן הוא שהקישור נשמר בתוך הקובץ, וגם זהות המתווך נשמרת בתוכו. כלומר מי שמכין את המסמך הוא זה שקובע איזה רכיב ייטען כשהמסמך ייפתח.
ולפי הרשומה, הרכיב הזה היה יכול להיות מנהל התקן Java שנמצא בכתובת מרוחקת. פתיחת המסמך גורמת ל-Calc להביא את אותו רכיב מהרשת ולהריץ אותו. מכאן זה כבר אינו גיליון שמציג מספרים, אלא קוד שבחר מישהו אחר ורץ על המחשב שלכם בהרשאות שלכם.
התיקון שינה את הכלל עצמו. לפי הרשומה, בגרסאות המתוקנות רשומה ב-class path של Java חייבת להיות כתובת של קובץ מקומי, כך שהמסלול של טעינת רכיב ממקום מרוחק נחסם מלכתחילה.
לסוג הכשל הזה קוראים הכללה של רכיב פונקציונלי ממקור שאינו מאומת. האפליקציה עשתה מה שהתבקשה. השאלה היא מי ביקש.
מי מושפע?
הרשומה אינה מונה מספרי גרסאות, ולכן ההתראה של LibreOffice היא הכתובת לבדיקה מול הגרסה שמותקנת אצלכם.
LibreOffice היא חבילת המשרד החופשית, והיא נפוצה בישראל בעיקר במקומות שבחרו לא לשלם על רישיונות: מוסדות חינוך, עמותות, גופים ציבוריים, חלק מהמשרדים הקטנים, וכל מי שמריץ לינוקס בבית. כלומר זה כן נוגע למשתמש הפרטי, בניגוד לחולשות שרת.
שווה לקרוא את הדירוג עד הסוף, מפני שהוא מרסן את התמונה. לפי הדירוג, הניצול מתחיל מקומית ודורש פעולה של המשתמש, כלומר צריך שמישהו יקבל את הקובץ ויפתח אותו. זה אינו משהו שקורה לכם בזמן שאתם גולשים. מצד שני, "שמישהו יפתח גיליון ששלחו לו" הוא התרחיש השגרתי ביותר שיש במשרד.
האם מנוצלת בפועל?
אין דיווח ידוע על ניצול בפועל. החולשה אינה מופיעה בקטלוג ה-KEV של CISA, סוכנות הסייבר האמריקאית, שמרכז את החולשות שידוע כי תוקפים משתמשים בהן. הרשומה פורסמה ב-5 באוקטובר 2026, ולכן אין להסיק מההיעדר הזה יותר ממה שהוא אומר.
מה עושים?
עדכנו את LibreOffice לגרסה מתוקנת. ההתראה של LibreOffice לחולשה הזאת היא המקום שבו מופיעות הגרסאות, ומכיוון שהרשומה עצמה אינה נוקבת בהן, אל תסתמכו על מספר גרסה שמסתובב במקום אחר.
אם אתם מתקינים את LibreOffice מהמאגרים של הפצת לינוקס, העדכון יגיע משם, וכדאי לוודא שהחבילה אצלכם אינה מוקפאת בגרסה ישנה.
בדקו אם אתם בכלל צריכים את רכיב ה-Java בתוך LibreOffice. בהגדרות התוכנה, במסלול כלים ואז אפשרויות ואז LibreOffice ואז Advanced, יש בחירה אם להשתמש בסביבת זמן ריצה של Java. החולשה הזאת עוברת דרך מנהל התקן Java, ולמשתמש שאינו מקשר גיליונות למסדי נתונים הרכיב הזה לרוב אינו נדרש.
והכלל שמכסה את כל משפחת החולשות הזאת: אל תפתחו גיליונות ממקור שאינכם מכירים, וכשאתם כן פותחים קובץ כזה, שימו לב להודעות שהתוכנה מציגה על קישורים למקורות חיצוניים במקום לאשר אותן אוטומטית.