Vulnerabilidades en LibreOffice y OpenOffice permiten la ejecución de código sin advertencias de macros

Investigadores de seguridad han descubierto vulnerabilidades críticas en las suites de oficina de código abierto LibreOffice y Apache OpenOffice. Estos fallos permiten que una hoja de cálculo maliciosa ejecute código en el sistema del usuario de forma automática en cuanto se abre el archivo, saltándose por completo las advertencias de seguridad habituales que los programas muestran antes de ejecutar macros.

¿Cómo funciona el ataque?

A diferencia de los ataques tradicionales basados en macros, que suelen ser bloqueados o requieren la interacción explícita del usuario para activarse, esta vulnerabilidad aprovecha una combinación de funciones legítimas del programa que, al trabajar juntas, crean un vector de ataque peligroso.

El ataque se basa en la función de «rango de base de datos» en las hojas de cálculo de Calc. Esta función permite que un bloque de celdas extraiga datos de una fuente externa y se actualice automáticamente. El proceso técnico sigue estos pasos:

• La hoja de cálculo apunta a un archivo de base de datos externo (ODB) alojado en un servidor controlado por el atacante.
• Al abrir el archivo, el programa intenta actualizar el rango de datos y descarga el archivo ODB.
• El archivo ODB puede especificar un controlador de base de datos Java (JDBC) y proporcionar la ubicación de su código (un archivo JAR).
• Si el soporte de Java está habilitado, el programa descarga y ejecuta el código del atacante dentro del contexto de la aplicación.

Estado de las correcciones y versiones afectadas

Es fundamental que las empresas que utilizan estas herramientas verifiquen sus versiones actuales:

• LibreOffice: Ya ha corregido el fallo (identificado como CVE-2026-63277). Se recomienda encarecidamente actualizar a las versiones 26.2.5 o 26.8.0 (o superiores) de inmediato.
• Apache OpenOffice: El fallo (rastreado como CVE-2026-59265) aún no ha sido parcheado en la versión actual (4.1.16). Se espera que la solución llegue con la versión 4.1.17, que se encuentra actualmente en fase de pruebas.

Recomendaciones para empresas

Desde el punto de vista de la gestión de riesgos y la ciberseguridad corporativa, recomendamos tomar las siguientes medidas preventivas:

1. Actualización inmediata: Si su organización utiliza LibreOffice, proceda con el despliegue de las últimas versiones de seguridad.
2. Deshabilitar Java: Para los usuarios de OpenOffice, y como medida de endurecimiento (hardening) general, se recomienda desactivar el soporte de Java en la configuración del programa si no es estrictamente necesario para sus operaciones diarias.
3. Concienciación: Reforzar la política de no abrir archivos de fuentes no confiables, incluso si parecen ser documentos de oficina estándar (.ods o .xlsx).
4. Gestión de parches: Mantener un inventario actualizado del software de productividad y asegurar que los ciclos de actualización incluyan herramientas de código abierto.

Aunque actualmente este ataque se ha demostrado como una prueba de concepto (PoC) y no hay reportes de uso masivo en el mundo real, la disponibilidad pública de los detalles técnicos aumenta significativamente el riesgo de explotación por parte de actores de amenazas.