Una hoja de cálculo podía ejecutar código en LibreOffice y OpenOffice

7 octubre, 20263 min de lectura

Abrir una hoja de cálculo que te mandaron por correo parece algo inofensivo. Pero investigadores de seguridad demostraron que un archivo preparado con mala intención podía hacer que LibreOffice y Apache OpenOffice ejecutaran código de un atacante en cuanto lo abrías, sin el aviso que normalmente aparece antes de correr una macro.

LibreOffice ya tiene la corrección. OpenOffice todavía no, pero hay una forma sencilla de protegerte mientras llega.

¿Qué pasó?

El 5 de octubre de 2026 The Document Foundation, que desarrolla LibreOffice, publicó el aviso de la falla CVE-2026-63277. El problema estaba en Calc, la hoja de cálculo: un documento podía enlazar un rango de celdas a una base de datos externa e indicar que el controlador de Java para esa conexión se descargara desde otra ubicación en internet. Al abrir el archivo, ese código se ejecutaba.

La falla está corregida en LibreOffice 26.2.5 y 26.8.0. Las versiones corregidas solo aceptan controladores guardados como archivos en tu propia computadora. En la misma tanda LibreOffice cerró otras dos fallas relacionadas con bases de datos externas y archivos CSV.

Apache OpenOffice tiene un problema equivalente, registrado como CVE-2026-59265. Afecta a la versión 4.1.16 y a todas las anteriores, y todavía no tiene parche: la corrección se espera en la versión 4.1.17.

Según The Hacker News, el ataque solo funciona si el programa tiene activado el soporte para Java. Los hallazgos vienen de Rick de Jager, de V12 Security, y de Thomas Rinsma y Edoardo Geraci, de Codean Labs.

¿Por qué te importa?

Muchas oficinas, escuelas y negocios pequeños usan LibreOffice u OpenOffice porque son gratuitos. Si das soporte a esos equipos, es fácil que haya versiones viejas instaladas que nadie actualiza.

Lo delicado es que la gente confía en que un documento sin macros es seguro. Esta falla rompía esa idea: bastaba con abrir el archivo. Por eso es un buen momento para revisar cómo se actualizan las suites de oficina en las computadoras que administras.

¿Qué puedes hacer?

Actualiza LibreOffice a la versión 26.2.5 o 26.8.0 desde su sitio oficial o desde el gestor de paquetes de tu sistema.
Si usas OpenOffice, desactiva el soporte para Java en las opciones del programa mientras sale la versión 4.1.17.
Haz un inventario rápido de las computadoras que administras para saber qué suite y qué versión tiene cada una.
Pide a tus usuarios que no abran hojas de cálculo de remitentes desconocidos hasta que sus equipos estén actualizados.
Si OpenOffice no se actualiza seguido en tus equipos, considera cambiar a una suite que reciba parches con más frecuencia.

Fuentes

LibreOffice: CVE-2026-63277 Remote Code Execution via JDBC Connector
The Hacker News: LibreOffice and OpenOffice Flaws Let Malicious Spreadsheets Run Code Without Macro Warnings