Dos fallos en LibreOffice y OpenOffice permiten ejecutar código al abrir hojas de cálculo sin avisos de macros

CVE-2026-63277 en LibreOffice Calc permite que un documento malicioso desencadene la carga de un controlador Java para base de datos desde una ubicación remota. El ataque aprovecha la capacidad del class path para resolver clases desde fuentes externas controladas por el atacante. La corrección en LibreOffice 26.2.5 o 26.8.0 o superiores restringe cada entrada del class path a URLs de tipo file, bloqueando efectivamente la carga remota de clases.

CVE-2026-59265 en Apache OpenOffice 4.1.16 y anteriores presenta un escenario más crítico: también permite ejecución de código local o remoto al abrir documentos no confiables que explotan la integración con Java. Aunque se espera una corrección en la versión 4.1.17 (actualmente en release candidate), las organizaciones deben aplicar mitigaciones temporales: desactivar la integración con Java si no es imprescindible, limitar el uso de Java en suites ofimáticas en puestos que abren adjuntos frecuentemente, reforzar políticas de no apertura de ficheros de procedencia dudosa y aplicar principios de mínimos privilegios. El artículo subraya que mantener OpenOffice sin un ciclo de parches ágil obliga a replantear su uso en entornos críticos.