เตือนช่องโหว่ LibreOffice และ OpenOffice รันโค้ดอันตรายผ่านสเปรดชีต

นักวิจัยด้านความปลอดภัยเปิดเผยช่องโหว่ใหม่ที่ช่วยให้สเปรดชีตอันตรายสามารถสั่งรันโค้ดของผู้โจมตีบน LibreOffice และ Apache OpenOffice ได้ทันทีเมื่อเปิดไฟล์ โดยไม่มีการแจ้งเตือนล่วงหน้าเหมือนกับการรัน Macro ตามปกติ

การโจมตีนี้จะทำงานได้ต่อเมื่อมีการเปิดใช้งาน Java support ในโปรแกรมเท่านั้น ปัจจุบันมีการแสดงผลในรูปแบบ proof of concept (PoC) และยังไม่มีรายงานการนำไปใช้โจมตีจริงในวงกว้าง

LibreOffice ได้ทำการ fixed the flaw หมายเลข CVE-2026-63277 ในตัวอัปเดตเมื่อวันที่ 5 ตุลาคมที่ผ่านมา โดยแนะนำให้ผู้ใช้เปลี่ยนไปใช้เวอร์ชัน 26.2.5 หรือ 26.8.0 เนื่องจากเวอร์ชันก่อนหน้านั้นได้รับผลกระทบทั้งหมด

ด้าน Apache OpenOffice ยังไม่ได้แก้ไขช่องโหว่ที่เกี่ยวข้อง (CVE-2026-59265) ซึ่งส่งผลกระทบต่อทุกเวอร์ชันจนถึง 4.1.16 โดยทางโครงการ says a fix is expected ในเวอร์ชัน 4.1.17 ที่ยังอยู่ในขั้นตอนทดสอบ ระหว่างนี้ผู้ใช้สามารถป้องกันได้ด้วยการปิด Java ในการตั้งค่าหรือหลีกเลี่ยงการเปิดไฟล์ที่ไม่น่าเชื่อถือ

กลไกการโจมตีเกิดจากการผสมผสานฟีเจอร์ปกติของโปรแกรม Calc ที่สามารถเก็บ "database range" เพื่อดึงข้อมูลจากภายนอกผ่านไฟล์ ODB ได้ เมื่อเปิดสเปรดชีต โปรแกรมจะดาวน์โหลดไฟล์ ODB จาก web address ที่ระบุ ซึ่งอาจชี้ไปยัง Java database driver (JDBC) ที่เป็นไฟล์ JAR ของผู้โจมตีบนรีโมทเซิร์ฟเวอร์ และเริ่มทำงานโค้ดอันตรายภายในตัวโปรแกรมทันที

นักวิจัยระบุว่าปัญหาความปลอดภัยคือการรวมฟีเจอร์เหล่านี้ทำให้เกิด code execution โดยไม่มีการขอความยินยอมจากผู้ใช้ ใน proof of concept แสดงให้เห็นการสั่งเปิดแอป Calculator ซึ่งสามารถเปลี่ยนเป็นโค้ดอันตรายใดๆ ก็ได้ ทั้งบน Windows และ Linux

ในการ demonstration แสดงให้เห็นว่าผู้โจมตีสามารถควบคุมไฟล์ฐานข้อมูลและโค้ดผ่านเซิร์ฟเวอร์ระยะไกลได้ โดยช่องโหว่นี้ถูกค้นพบโดย Rick de Jager จาก V12 และทีมงานจาก Codean Labs ซึ่งได้ประสานงานกับผู้พัฒนาเพื่อออกตัวแก้ไขต่อไป