ニュース約4分で読めます

Apache OpenOffice、文書を開くだけでコード実行の恐れ 4.1.17に更新を LibreOfficeも確認

Apache OpenOfficeに、細工された文書を開くだけで任意のコードを実行される恐れのある脆弱性(CVE-2026-59265、深刻度Critical)が見つかり、修正版の4.1.17が公開されました。同じ問題はLibreOfficeでもCVE-2026-63277として報告され、26.2.5と26.8.0で直っています。社内のPCで確かめることを整理します。

公開 2026年10月17日 05:30情シスのミカタ編集部AIにより執筆チェック済み

文字

Apache OpenOffice、文書を開くだけでコード実行の恐れ 4.1.17に更新を LibreOfficeも確認

この記事のまとめ

Apache OpenOfficeに、細工された文書を開くと任意のコードを実行される恐れのある脆弱性(CVE-2026-59265)が見つかりました。Java連携の部分の問題で、Apacheの評価は最も重い「Critical」です。4.1.16以前のすべての版が対象で、2026年10月14日(米国時間)に修正版の4.1.17が公開されました。
同じ問題はLibreOfficeでもCVE-2026-63277として報告され、10月5日に公表、LibreOffice 26.2.5と26.8.0で直っています。どちらも、悪用やCISAのKEVへの掲載は確認されていません。
すぐに更新できない場合、OpenOfficeは、Javaの実行環境を使う設定を切ると攻撃を防げるとしています。社内のPCで、どちらのオフィスソフトが、どの版で入っているかを確かめます。

こんな方に#20代 #30代 #40代 #50代 #60代実務

テーマ#Apache OpenOffice #LibreOffice #脆弱性 #オフィスソフト #アップデート

目次ひらく

1Apache OpenOfficeの脆弱性の中身
2すぐに更新できないときの回避策
3LibreOfficeでも同じ問題、26.2.5と26.8.0で修正
4影響する会社・しない会社
5情シスが今日やること
6書かれていないこと

無料のオフィスソフトを社内で使っている会社は、確かめておきたい脆弱性です。Apache OpenOfficeに、細工された文書を開くだけで任意のコードを実行される恐れのある脆弱性(CVE-2026-59265)が見つかり、修正版の4.1.17が公開されました。同じ問題はLibreOfficeでも報告されていて、こちらも修正版が出ています。どちらを、どの版で使っているかを確かめるための情報を整理します。

Apache OpenOfficeの脆弱性の中身

Apache OpenOfficeの公式のセキュリティ情報によると、中身は次のとおりです。

内容: Java連携の部分の問題で、細工された信頼できない文書を開くと、任意のコード(離れた場所のコードも)を実行される恐れがある
深刻度: Critical(Apacheの評価)
対象: Apache OpenOffice 4.1.16以前のすべての版。前身のOpenOffice.orgの版も影響する可能性がある
修正: 4.1.17。Apacheは2026年10月14日(米国時間)に公開し、4.1.16以前の利用者すべてに更新を勧めています

Apache OpenOfficeのCVE-2026-59265のページ。悪意のある文書を開くとシステムを乗っ取られる恐れがあるという題、Java連携の問題で4.1.16以前が対象、LibreOfficeではCVE-2026-63277として報告、深刻度Critical、回避策としてJavaの実行環境の設定を外す手順が書かれている — Apache OpenOfficeのセキュリティ情報。深刻度はCritical、LibreOfficeでも報告出典: Apache OpenOffice(引用)

4.1.17はセキュリティの修正を主にした版で、Windows、macOS、Linux向けに41の言語で提供されています。報道によると、OpenOfficeの更新は約11カ月ぶりです。悪用の報告や、米CISAの悪用が確認された脆弱性の一覧(KEV)への掲載は、10月17日時点で確認されていません。

すぐに更新できないときの回避策

Apache OpenOfficeは、更新までの回避策として、Javaの実行環境を使う設定を切る方法を示しています。

Windowsなど: 「ツール」→「オプション」→「OpenOffice」→「Java」で、Javaの実行環境を使う設定(英語版では「Use a Java runtime environment」)のチェックを外す
macOS: 「OpenOffice」→「環境設定」→「OpenOffice」→「Java」で同じ設定を外す

Apacheは、これで攻撃を防げるとしています。それも難しい場合や念のための対策として、信頼できないファイルを開かないよう求めています。

LibreOfficeでも同じ問題、26.2.5と26.8.0で修正

公式のセキュリティ情報には、同じ問題がLibreOfficeでもCVE-2026-63277として報告されたと書かれています。LibreOfficeの説明では、Calcのセル範囲を外部のデータとつなぐ設定に、離れた場所にあるJavaのデータベース用ドライバーを指定でき、文書を開くとそのJavaのコードが動く恐れがありました。修正版では、Javaのクラスの読み込み先をファイルの場所に限るよう改めています。

LibreOfficeは10月5日に公表し、26.2.5以降、または26.8.0以降への更新を勧めています。発見者はどちらも同じ研究者たちです。

影響する会社・しない会社

影響する: Apache OpenOfficeを使っている会社。4.1.16以前は、すべて対象です。
影響する: LibreOfficeを使っている会社。26.2.5より前の版は、更新が要ります。
注意が要る: 取引先から受け取った文書を、こうした無料のオフィスソフトで開く部署。メールの添付が入り口になりえます。
直接は関係しない: どちらのソフトも入れていない会社。

情シスが今日やること

社内のPCに、Apache OpenOfficeとLibreOfficeが入っているか、版はいくつかを、資産管理の仕組みなどで洗い出します。個人の判断で入れている場合もあるので、申告も集めます。
Apache OpenOfficeは4.1.17へ、LibreOfficeは26.2.5以降(または26.8.0以降)へ更新します。
すぐに更新できないOpenOfficeは、Javaの実行環境を使う設定を切ります。業務でJavaを使う機能(一部のデータベースとの連携など)に影響しないかも確かめます。
社員に、送り主の分からない文書や、思い当たらない添付ファイルを開かないよう、あらためて伝えます。
使っていないPCからは、オフィスソフトごと消すことも検討します。

書かれていないこと

実際の攻撃に使われたかどうか(10月17日時点で、公式の報告もKEVへの掲載もない)
回避策でJavaの設定を切ったときに、使えなくなる機能の一覧
前身のOpenOffice.orgの版で、どこまで影響するか

2026年10月17日時点の内容です。

よくある質問

Qどんな操作で被害に遭う恐れがありますか?

A細工された文書を開くだけで、任意のコードが実行される恐れがあります。メールの添付やダウンロードしたファイルなど、信頼できない文書を開くのが入り口です。Apacheは、Java連携の部分の問題だと説明しています。

Qすぐに更新できない場合は、どうすればよいですか?

AApache OpenOfficeは、「ツール」→「オプション」→「OpenOffice」→「Java」で、Javaの実行環境を使う設定(英語版では「Use a Java runtime environment」)のチェックを外すと、攻撃を防げるとしています。macOSでは「OpenOffice」→「環境設定」から同じ画面を開きます。それも難しい場合は、信頼できないファイルを開かないようにします。

QLibreOfficeを使っています。対象ですか?

ALibreOfficeでも同じ問題がCVE-2026-63277として報告されています。Calcの外部データとの連携で、文書の中に離れた場所のJavaのデータベース用ドライバーを指定でき、開くとそのJavaのコードが動く恐れがあるというものです。LibreOffice 26.2.5以降、または26.8.0以降に更新してください。