Wer LibreOffice nutzt, sollte zuerst die Versionsnummer prüfen. Die Projekte warnen vor einer Lücke, über die ein präpariertes Tabellendokument beim Öffnen Java-Code aus einer entfernten Quelle ausführen kann. Bei LibreOffice ist der Fehler laut Sicherheitsliste ab Version 26.2.5 beziehungsweise in der Reihe 26.8 ab Version 26.8.0 behoben. Neuere Ausgaben dieser Reihen schließen die Lücke ebenfalls.
Für Apache OpenOffice ist die Lage anders. Betroffen sind Version 4.1.16 und ältere. Die korrigierte Ausgabe 4.1.17 befand sich am Prüfzeitpunkt noch in der Release-Candidate-Phase und war damit nicht als fertiges Update bestätigt. Bis zur finalen Veröffentlichung empfiehlt Apache, die Java-Laufzeit unter den Programmeinstellungen zu deaktivieren.
Der Angriffsweg steckt in einer Funktion der Tabellenkalkulation: Dokumente können Zellbereiche mit externen Datenquellen verbinden. Ein manipuliertes Dokument kann dabei einen Java-Datenbanktreiber von einer entfernten Adresse angeben. Wird dieser beim Öffnen geladen, kann fremder Code laufen. Bei LibreOffice trägt die Schwachstelle die Kennung Common Vulnerabilities and Exposures (CVE) 2026-63277, bei OpenOffice CVE-2026-59265.
Die beiden Nummern beschreiben denselben grundlegenden Fehler in verwandten Programmen, aber die Abhilfe ist produktspezifisch. Deshalb reicht es nicht, nur nach einer der CVE-Nummern zu suchen. Entscheidend sind Programmname und installierte Version.
Unabhängig vom Update sollten unerwartete Anhänge und Downloads aus unbekannten Quellen nicht geöffnet werden. Bei OpenOffice vermindert das Abschalten von Java den beschriebenen Angriffsweg, ersetzt aber nicht das spätere Update. Organisationen sollten außerdem zentral prüfen, ob ältere Installationen noch im Einsatz sind.
LibreOffice meldet parallel weitere behobene Schwachstellen, unter anderem beim Lesen lokaler Dateien und bei externen Netzwerkaufrufen. Der sichere Kurzweg lautet daher: auf eine aktuelle LibreOffice-Version wechseln; bei OpenOffice den finalen Stand von 4.1.17 prüfen, bis dahin Java deaktivieren und nicht vertrauenswürdige Dokumente meiden.