安全研究团队 V12 与 Codean Labs 披露，LibreOffice 与 Apache OpenOffice 存在一个可让恶意表格在打开瞬间执行任意代码的漏洞链，全程不会弹出宏安全警告。LibreOffice 已将其修复为 CVE-2026-63277，OpenOffice 对应编号为 CVE-2026-59265，后者截至 4.1.16 仍未修补。攻击需目标程序启用 Java 支持才会触发。
事件概述
漏洞分别由 V12 安全团队的 Rick de Jager，以及 Codean Labs 的 Thomas Rinsma 与 Edoardo Geraci 独立报告。LibreOffice 于 10 月 5 日发布更新，修复版本为 26.2.5 与 26.8.0；Apache OpenOffice 尚未修复，受影响的包括当前版本 4.1.16 及更早版本，官方表示修复预计随 4.1.17 发布，该版本仍在测试中。同批披露的 Calc 缺陷还有 CVE-2026-63266（通过数据映射、SQL 提供程序与 Firebird 备份实现任意文件写入）与 CVE-2026-63267（链接的 CSV 源可把本地文件读入工作表），三者同源于 Calc 在加载阶段主动访问外部数据源这一习惯。
技术细节
攻击把数个各自正常的特性串成一条链：Calc 的“数据库区域”是一种可按外部数据源自动刷新的单元格块，其数据源可以是一个以网址写进表格的 ODB 数据库文件。当表格被打开，该区域自动刷新并从攻击者控制的地址下载 ODB；ODB 可指定一个 JDBC 数据库驱动，并把驱动代码指向远程服务器上的 JAR 包；程序随即拉取该 JAR，并在套件进程内启动这个驱动——也就是攻击者的 Java 代码。每个环节都按设计工作，但组合起来就在未获得文档信任授权的情况下实现了代码执行。V12 的 PoC 仅以打开计算器演示，实际可运行任意 Java 代码，研究者在 Windows 与 Linux 上均验证成功。
影响评估
LibreOffice 该漏洞被评为 CVSS 8.5，OpenOffice 对应项为 8.8。由于宏警告是办公套件最基础的防线之一，绕过它意味着用户“只需打开附件”即可能中招，配合钓鱼邮件具有较高实战价值。目前两个漏洞均仅有 PoC，尚无在野利用报告，但企业环境中 LibreOffice/OpenOffice 装机量大、更新不及时，一旦被武器化影响面较广。攻击链依赖 Java，关闭 Java 支持即可切断关键一环，这也是 OpenOffice 目前唯一可用的缓解手段。
修复建议
LibreOffice 用户应立即升级到 26.2.5 或 26.8.0；OpenOffice 用户在 4.1.17 发布前应在设置中关闭 Java 支持，并避免打开来源不明的表格文件。无法立即更新 LibreOffice 的机器，同样可用关闭 Java 作为临时缓解。邮件网关应加强对含外部数据链接、可自动刷新数据库区域的表格附件的检测与拦截。此外建议梳理内部 ODS/ODB 类文件来源，对通过邮件或即时通讯收到的表格一律先确认再打开。