Ciberseguridad · Aviso

LibreOffice Calc y Apache OpenOffice · Ejecución de código al abrir una hoja de cálculo

Dos vulnerabilidades permiten que una hoja de cálculo manipulada ejecute código con solo abrirla, sin mostrar los avisos habituales de macros, aprovechando la integración de estas suites con Java.

Publicado 1 noviembre 2026 Lectura 6 min Ref. CVE-2026-63277, CVE-2026-59265 CVSS 8.5 (The Document Foundation (CNA), CVSS v4.0 8.5 para CVE-2026-63277 (LibreOffice), reflejado también en NVD/OpenCVE. Red Hat publica además un CVSS v3.1 de 7.8 en borrador. Para CVE-2026-59265 (Apache OpenOffice) el registro CVE recoge un CVSS v3.1 de 8.8.)

Resumen

Investigadores de seguridad han revelado dos fallos, CVE-2026-63277 en LibreOffice Calc y CVE-2026-59265 en Apache OpenOffice, que permiten ejecutar código en el equipo al abrir un documento ofimático preparado por un atacante. No interviene ninguna macro visible ni ninguna advertencia: el problema está en cómo estas suites integran Java y resuelven controladores de bases de datos al cargar el documento. LibreOffice ya dispone de versiones corregidas (26.2.5 y 26.8.0) y Apache OpenOffice publicó la 4.1.17. Por ahora solo consta una prueba de concepto; no hay constancia de uso en ataques reales.

Materias: Vulnerabilidades, Software ofimático, Ejecución de código, Gestión de parches, Seguridad del puesto de trabajo

El riesgo no llega esta vez por una macro sospechosa ni por un botón que haya que pulsar: basta con abrir una hoja de cálculo preparada para que el programa ejecute código que el atacante controla. Dos vulnerabilidades gemelas, una en LibreOffice Calc y otra en Apache OpenOffice, aprovechan la forma en que estas suites se integran con Java —el entorno de programación que ambas usan para funciones avanzadas— para saltarse los avisos clásicos que advierten al usuario antes de ejecutar nada.

Descripción

Hablamos de dos vulnerabilidades (fallos de seguridad) distintas pero del mismo tipo, cada una con su identificador CVE (el código estándar con el que se cataloga internacionalmente cada fallo conocido):

LibreOffice Calc — CVE-2026-63277. La corrigió The Document Foundation, la fundación que desarrolla LibreOffice, en las versiones 26.2.5 y 26.8.0 (anuncio del 5 de octubre de 2026). Se consideran afectadas las versiones anteriores de esas ramas. Calc es el programa de hojas de cálculo de LibreOffice.
Apache OpenOffice — CVE-2026-59265. Afecta a la versión 4.1.16 y anteriores. Se corrigió en la 4.1.17, publicada el 14 de octubre de 2026.

Ambas comparten causa: la integración con Java de estas suites. Java es una tecnología que LibreOffice y OpenOffice utilizan, entre otras cosas, para conectarse a bases de datos. El vector de ataque es un documento —típicamente una hoja de cálculo— de procedencia no fiable (recibido por correo, descargado, compartido) que el usuario abre. No se requieren permisos de administrador: el código se ejecutaría con los privilegios de la cuenta del usuario que abre el archivo. El propio LibreOffice clasifica el fallo como CWE-829 («inclusión de funcionalidad desde una fuente de control no fiable»), un tipo de debilidad en el que el programa carga y ejecuta componentes procedentes de un origen que no debería poder decidirlo.

Mecánica

Qué es una macro y por qué aquí no hace falta

Una macro es un pequeño programa incrustado en un documento para automatizar tareas. Como pueden usarse con fines maliciosos, las suites ofimáticas muestran un aviso de macros y piden permiso antes de ejecutarlas. La particularidad de estos dos fallos es que no pasan por ese aviso: la ejecución se desencadena por el mecanismo de conexión a bases de datos, no por una macro, de modo que el usuario no recibe la advertencia que esperaría.

El caso de LibreOffice Calc

Calc permite enlazar un rango de celdas a una fuente de datos externa (por ejemplo, una base de datos), y ese enlace se guarda dentro del documento. La clave está en el «class path» (la lista de ubicaciones donde Java busca las clases, es decir, el código, que debe cargar) y en el controlador JDBC (el componente de Java que conecta la aplicación con una base de datos). Un documento manipulado puede indicar que el controlador Java de base de datos se cargue desde una ubicación remota controlada por el atacante; al abrir el archivo, la aplicación resuelve y ejecuta código desde esa fuente. La corrección «endurece» este comportamiento: a partir de las versiones parcheadas, cada entrada del class path debe ser una URL de tipo file (es decir, un fichero local), lo que en la práctica bloquea la carga de clases desde ubicaciones remotas.

El caso de Apache OpenOffice

El mecanismo es equivalente. Según la descripción de los investigadores, un rango de datos externo de la hoja puede refrescarse automáticamente y recuperar un fichero de base de datos que, a su vez, nombra un archivo JAR de controlador JDBC (un JAR es un paquete de código Java). Ese código acaba ejecutándose dentro del programa. El problema de fondo, señalan, es que la combinación de estos pasos alcanza la ejecución de código sin pedir en ningún momento al usuario que confíe en el documento. El registro del fallo lo asocia a CWE-426 («ruta de búsqueda no fiable»).

Respuesta del creador

The Document Foundation actúa como CNA (la entidad acreditada para asignar y describir el CVE) de CVE-2026-63277 y publicó el aviso correspondiente junto con las versiones corregidas. Acredita el hallazgo a Rick de Jager (equipo de seguridad V12) y a Thomas Rinsma y Edoardo Geraci (Codean Labs), que lo reportaron de forma independiente; la corrección la desarrolló Caolán McNamara, de Collabora Productivity.

La Apache Software Foundation, CNA de CVE-2026-59265, difundió su propio aviso a través de la lista oss-security, acreditando a los mismos investigadores (Thomas Rinsma y Edoardo Geraci, de Codean Labs, y Rick de Jager). Recomendó como medida provisional desactivar la integración con Java y, si no era posible, evitar abrir ficheros no fiables hasta la publicación de la 4.1.17.

En cuanto a autoridades: en el momento de redactar este aviso, el fallo no figura en el catálogo de vulnerabilidades explotadas de la agencia estadounidense CISA (KEV) y la valoración SSVC asociada al CVE marca la explotación como «none». Distribuciones de Linux como Debian y Red Hat lo han recogido en sus sistemas de seguimiento y publicado actualizaciones para sus paquetes de LibreOffice.

Sobre la explotación: las fuentes coinciden en que, por ahora, solo se ha demostrado mediante una prueba de concepto (código que evidencia que el fallo es real), sin informes de uso en ataques reales. Conviene no confundir «fallo demostrable» con «fallo explotándose de forma activa».

Parches y mitigaciones

Versiones corregidas

LibreOffice: actualizar a 26.2.5 o superior, o a 26.8.0 o superior.
Apache OpenOffice: actualizar a 4.1.17, ya disponible para descarga (sustituye a la 4.1.16 y anteriores, afectadas).

Mitigaciones si no puede actualizar de inmediato

Desactivar la integración con Java en la suite si no la necesita. En OpenOffice: Herramientas > Opciones > OpenOffice > Java y desmarcar «Usar un entorno de ejecución de Java». En LibreOffice existe la opción equivalente en las preferencias. Según los fabricantes, esto neutraliza el ataque.
No abrir hojas de cálculo ni documentos de procedencia dudosa, especialmente adjuntos de correo, y reforzar las políticas internas en ese sentido.
En puestos que abren adjuntos con frecuencia, aplicar el principio de mínimos privilegios y recurrir a aislamiento (por ejemplo, entornos virtualizados) cuando sea posible: si el código llegara a ejecutarse, su alcance quedaría acotado a los permisos del usuario.

Qué hacer hoy

Priorizar la actualización en los equipos que manejan hojas de cálculo con conexiones a fuentes de datos externas o que reciben documentos de terceros. Para las organizaciones, el episodio deja una lectura de gestión: mantener una suite ofimática como pieza crítica exige un ciclo de parches ágil; cuando el ataque puede entrar por el documento que alguien abre «solo para mirar un dato», cada semana sin actualizar cuenta.