Des vulnérabilités critiques dans Apache OpenOffice et LibreOffice permettent à un document spécialement conçu de déclencher l’exécution de code arbitraire lorsqu’il est ouvert. Le problème se situe dans l’intégration Java des deux suites bureautiques libres.
Apache suit la faille sous l’identifiant CVE-2026-59265, tandis que LibreOffice utilise CVE-2026-63277. Un attaquant peut distribuer le fichier par courriel, messagerie ou téléchargement et dépend ensuite de son ouverture par la victime.
Une prise de contrôle possible à l’ouverture
Selon l’avis Apache, un document non fiable peut exploiter l’intégration Java pour exécuter du code local ou distant. L’impact peut aller bien au-delà d’un simple plantage : l’attaquant peut agir avec les droits du compte ayant ouvert le fichier.
Toutes les versions d’Apache OpenOffice jusqu’à la 4.1.16 incluse sont concernées. OpenOffice 4.1.17 doit apporter la correction, mais cette version était encore en phase de release candidate lors de l’annonce.
Quelle protection pour LibreOffice ?
Les utilisateurs de LibreOffice doivent installer les versions corrigées distribuées par The Document Foundation ou par leur système d’exploitation. Les administrateurs Linux doivent vérifier les avis de leur distribution, car le numéro du paquet peut différer de celui publié en amont.
Mitigation immédiate pour OpenOffice
En attendant OpenOffice 4.1.17, Apache recommande de désactiver l’environnement d’exécution Java depuis Outils, Options, OpenOffice, Java, puis de décocher l’utilisation d’un environnement Java. Sur macOS, le réglage se trouve dans les préférences.
- désactiver l’intégration Java lorsque son usage n’est pas indispensable ;
- ne pas ouvrir de documents provenant d’une source inconnue ;
- mettre à jour OpenOffice vers 4.1.17 dès sa disponibilité ;
- installer les paquets LibreOffice corrigés de l’éditeur ou de la distribution ;
- isoler les pièces jointes bureautiques dans un environnement contrôlé.
Pourquoi les fichiers bureautiques restent dangereux
Les documents sont souvent considérés comme des données passives. Pourtant, les suites bureautiques intègrent des moteurs de scripts, des macros, Java et de nombreux formats complexes. Une vulnérabilité dans l’une de ces couches peut transformer une pièce jointe en vecteur d’exécution.
Les entreprises doivent compléter les correctifs par une défense en profondeur : filtrage des fichiers, blocage des pièces jointes inhabituelles, moindre privilège et détection des processus lancés par les applications bureautiques.
