Scoperta una falla in LibreOffice e OpenOffice che esegue codice malevolo all'apertura dei fogli di calcolo, aggirando il blocco delle macro. Ecco le versioni colpite e come aggiornare i sistemi.
Il 5 e 6 ottobre 2026 le principali testate di sicurezza informatica hanno reso nota una grave criticità che colpisce i software di produttività open source più diffusi nelle aziende. Questa libreoffice vulnerabilita macro fogli calcolo permette a un malintenzionato di eseguire codice arbitrario da remoto semplicemente facendo aprire un documento alla vittima, aggirando del tutto i consueti avvisi di sicurezza. Il problema, tracciato con i codici CVE-2026-63277 per LibreOffice e CVE-2026-59265 per Apache OpenOffice, richiede un intervento immediato. Per proteggere i computer aziendali è necessario aggiornare subito LibreOffice alle versioni 26.2.5 o 26.8.0, oppure disattivare l'ambiente di runtime Java nelle impostazioni di OpenOffice.
Come funziona l'attacco e l'aggiramento dei blocchi
I ricercatori indipendenti Rick de Jager del team V12, insieme a Thomas Rinsma ed Edoardo Geraci di Codean Labs, hanno dimostrato tramite una prova di concetto (proof of concept) come sia possibile eludere le protezioni standard del programma Calc. La vulnerabilità sfrutta una combinazione di funzionalità legittime del software. Nello specifico, Calc consente agli utenti di definire un "database range" (intervallo di database). Si tratta di un blocco di celle programmato per collegarsi a un'origine dati esterna e aggiornarsi automaticamente.
Durante un attacco, l'intervallo di database viene configurato per puntare a un file di database remoto con estensione .odb tramite un normale indirizzo web. Questo file malevolo richiama a sua volta un driver di database Java (driver JDBC), specificando un percorso remoto attraverso la sintassi jar:http://....
Nel momento in cui l'utente apre il foglio di calcolo, il programma scarica il file JAR ed esegue l'inizializzazione del codice Java direttamente all'interno del processo locale. Tutto questo avviene in modo completamente invisibile: l'utente non riceve alcuna richiesta di autorizzazione e non visualizza la classica barra che avvisa del blocco delle macro. L'unica condizione tecnica necessaria affinché l'esecuzione del codice vada a buon fine è che il supporto all'ambiente di runtime Java sia abilitato all'interno del programma. Al momento della pubblicazione della scoperta non risultano attacchi attivi rilevati in rete, ma la disponibilità dei dettagli tecnici rende lo sfruttamento concreto.
CVE-2026-63277 e CVE-2026-59265: i software e le versioni coinvolte
Molti studi professionali e piccole e medie imprese italiane utilizzano LibreOffice o Apache OpenOffice come alternativa economica per la gestione quotidiana di preventivi, listini, ordini e contabilità di base. Il personale aziendale è generalmente addestrato a diffidare degli allegati sospetti, ma spesso si limita a chiudere i documenti solo quando compare la barra di avviso sulle macro. In questo scenario, l'apertura di un allegato di calcolo inviato tramite posta elettronica, mascherato ad esempio da finta fattura o da offerta commerciale, esegue il codice dannoso compromettendo la postazione di lavoro, anche in presenza delle impostazioni restrittive standard per le macro.
I prodotti e le versioni affette dal problema sono due:
- LibreOffice: la vulnerabilità è tracciata con l'identificativo CVE-2026-63277 e riguarda tutte le versioni del software precedenti alla 26.2.5 e alla 26.8.0.
- Apache OpenOffice: la vulnerabilità è tracciata con l'identificativo CVE-2026-59265 e colpisce tutte le versioni del programma fino alla 4.1.16 inclusa.
Cosa fare per proteggere i computer aziendali
Per mettere in sicurezza le postazioni di lavoro ed evitare che l'apertura accidentale di un file comprometta la rete aziendale, i responsabili IT devono applicare i seguenti passaggi in ordine di priorità:
- Per chi usa LibreOffice (Soluzione definitiva): È necessario aggiornare immediatamente i software all'ultima versione disponibile. I tecnici devono installare LibreOffice 26.2.5 oppure LibreOffice 26.8.0, entrambe rilasciate il 5 ottobre 2026. In queste specifiche versioni la vulnerabilità è stata corretta e il meccanismo di esecuzione remota bloccato.
- Per chi usa Apache OpenOffice (Soluzione temporanea): Al momento non è ancora disponibile una versione corretta definitiva, poiché la correzione è prevista con la futura versione 4.1.17, attualmente in fase di test. È quindi indispensabile applicare la soluzione temporanea ufficiale, che consiste nel disattivare l'uso di Java all'interno dell'applicazione. Per farlo, seguire il percorso: Strumenti > Opzioni > OpenOffice > Avanzate (o Java, a seconda della versione) e deselezionare l'opzione "Usa un ambiente runtime Java". In alternativa, valutare la migrazione delle postazioni aziendali a una versione aggiornata di LibreOffice.
- Regola operativa per gli utenti: Istruire tempestivamente il personale a non aprire in nessun caso fogli di calcolo provenienti da mittenti esterni non verificati o inattesi, almeno fino al completamento degli aggiornamenti e delle configurazioni su tutti i terminali dell'azienda.
Verificate oggi stesso le versioni dei software di produttività installate sui computer dei vostri collaboratori per pianificare gli interventi di messa in sicurezza.
