Apache OpenOffice 4.1.17が公開、文書を開くだけで乗っ取られるおそれのある「緊急」の脆弱性を修正

無料のオフィスソフト「Apache OpenOffice」の開発チームは2026年10月14日、新しい版「4.1.17」を公開した。セキュリティの問題と不具合を直す版で、深刻度が「緊急」の脆弱性(セキュリティの弱点)「CVE-2026-59265」を直した。4.1.16以前を使っているすべての人に、更新を勧めている。

どんな脆弱性か

Apache OpenOfficeのセキュリティの説明によると、Javaとの連携の部分に問題があった。細工された文書を開くと、外から持ち込まれたものも含めて、どんなプログラムでも動かされるおそれがあった。説明の題は「悪意のある文書を開くと、システムを乗っ取られるおそれ」だ。

LibreOfficeの説明によると、表計算のCalcでは、セルの範囲を外のデータにつなぐ設定を文書に保存できる。文書の中で、Javaのデータベースのドライバーを離れた場所から読み込むように指定でき、文書を開くとその場所のJavaのプログラムが動くおそれがあった。LibreOfficeは、Javaの読み込み先を手元のファイルに限るように直した。

この問題は、V12のセキュリティチームのRick de Jager氏と、Codean LabsのThomas Rinsma氏とEdoardo Geraci氏が、それぞれ別に見つけて報告した。

すぐ更新できないときは

OpenOfficeは、4.1.17を入れるまでの間の対策として、Javaの実行環境を使わない設定にするよう案内している。

• Windows、Linux: メニューの「ツール」→「オプション」→「OpenOffice」→「Java」で、Javaの実行環境を使う設定(英語の画面では「Use a Java runtime environment」)のチェックを外す
• Mac: 「OpenOffice」→「環境設定」→「OpenOffice」→「Java」で、同じチェックを外す

それができないときや、念のための追加の対策として、信頼できない文書を開かないよう勧めている。

4.1.17のほかの変更

リリースノートによると、セキュリティの修正のほか、次のような改善もした。

• Pythonのマクロ: Pythonの小さなプログラム(マクロ)を、文書の中で直接作り、編集し、動かし、埋め込めるようになった
• 安全な保存: ファイルの書き込みと置き換えをひとまとまりで行うようにし、電源が切れたり保存が途中で止まったりしても、ファイルが壊れにくくなった
• Excelとの互換性: ExcelのXMLの形式(SpreadsheetML)との互換性を高めた
• CADのデータ: DXFの形式の図面の読み込みで、多くの図形をよりきれいに描けるようになった

かんたんに言うと

無料のオフィスソフトのOpenOfficeに、細工された文書を開くだけでパソコンを乗っ取られるおそれのある弱点が見つかり、直った版が出た。使っている人は新しい版に更新したい。すぐにできないときは、設定でJavaを使わないようにし、知らない相手からの文書は開かないようにしたい。

日本ではどうなるのか

OpenOfficeは日本語でも使え、公式サイトのopenoffice.orgから4.1.17を入手できる。窓の杜によると、更新は約11か月ぶりだ。LibreOfficeを使っている人も、26.2.5以降か26.8.0以降になっているか確かめたい。

まとめ

Apache OpenOffice 4.1.17が10月14日に公開され、文書を開くだけでプログラムを動かされるおそれのある「緊急」の脆弱性CVE-2026-59265が直った。4.1.16以前を使う人は更新が勧められている。同じ問題はLibreOfficeでも26.2.5と26.8.0で直っている。