Ook LibreOffice heeft vandaag onder Ubuntu 26.04.1 LTS inmiddels een veiligheid update ondergaan.

De cve verwijst ook naar de bug-omschrijving voor Libre Office:
https://app.opencve.io/cve/CVE-2026-63277

Met een duidelijke uitleg dat het mogelijk is vanuit Calc met een Java database functie om een aanroep naar een internet bron te doen en daar code op te halen die uitgevoerd wordt.

Alle versies vanaf 0 zijn getroffen. Updates nog niet beschikbaar, Java uitzetten of open alleen vertrouwde documenten.

Sucks. Gelukkig gebruik ik flatpaks met firewall, dat scheelt wel een beetje, maar het is alsnog opassen geblazen.

USN-8868-1: LibreOffice vulnerabilities
5 October 2026

Several security issues were fixed in LibreOffice.

Ubuntu 26.04 LTS (resolute), 24.04 LTS (noble), 22.04 LTS (jammy)

CVE ID: CVE-2026-50593, CVE-2026-63275, CVE-2026-63278 + 5 others

https://ubuntu.com/security/notices/USN-8868-1

Java wordt voornamelijk gebruikt in Base https://wiki.documentfoundation.org/Faq/General/015. Als je Base niet gebruikt, dan zou ik ook Java niet installeren (is op Windows de laatste decennia niet meer nodig is mijn ervaring).

Is niet iedereen al overgestapt op LibreOffice?

Nederlanders vinden onafhankelijk van elkaar zelfde lek in OpenOffice :)

Twee van de drie ontdekkers van het lek zijn Nederlanders. Het gaat om Thomas Rinsma van Codean Labs, die samen met collega Edoardo Geraci het lek ontdekte, en om Rick de Jager van V12 Security. Volgens Apache ontdekten Rinsma en Geraci het lek onafhankelijk van De Jager.

https://tweakers.net/nieuws/253018/nederlanders-vinden-onafhankelijk-van-elkaar-zelfde-lek-in-openoffice.html

Dat kan niet, openoffice draait niet met admin (root) rechten. Het is geen windows!

Jammer dat er dubbel werk gedaan is. Wellicht bij voldoende kennis over de onderzoeken, had een team zich op een andere exploit kunnen richten.

In de harde praktijk moeten ingewikkelde hacks of leaks vaak door meerdere teams of peers van ICT-experts of computer wetenschappers worden geverifieerd. Werk in de ICT-security is allang niet meer het domein van briljante eenlingen, maar een kwestie van uitzonderlijk goed samenwerken, en daarbij elkaars werk voortdurende op mogelijke fouten controleren.

Java uitschakelen in LibreOffice

Om Java uit te schakelen in LibreOffice, volg deze drie stappen:

Stappen om Java uit te schakelen

Effect van het uitschakelen van Java

Door deze optie uit te schakelen, voorkomt u dat LibreOffice Java gebruikt voor functies die het nodig heeft. Dit kan nuttig zijn voor veiligheidsredenen, vooral als u geen Java-toepassingen of -functionaliteiten nodig heeft binnen LibreOffice.

Overwegingen voor in- of uitschakelen

o Het uitschakelen van Java kan een nadelige invloed hebben op bepaalde functies, waaronder Calc plugins of macro's.

o Zorg ervoor dat u de eventuele impact op uw berekeningen of workflow begrijpt voordat u deze wijziging aanbrengt.

De veiligheidsrisico's van het gebruik van Java in LibreOffice (of OpenOffice) omvatten potentiële kwetsbaarheden die kunnen leiden tot malware-infecties, vooral als men niet de laatste versie van Java gebruikt. Het is aan te raden om Java alleen te gebruiken als het absoluut noodzakelijk is voor specifieke functies binnen LibreOffice (of OpenOffice).

https://help.libreoffice.org/latest/en-US/text/shared/optionen/java.html
https://help.libreoffice.org/latest/nl/text/shared/optionen/java.html

Je moet een exploit eerst op het spoor komen om je erop te kunnen richten. Je kan je hooguit richten op waar je naar mogelijke zwakheden zoekt, in welk onderdeel van welk geheel van software, niet op een exploit.

Als je dan zou regelen dat maar één onderzoeker of team van onderzoekers zich op één zo'n onderdeel zou richten dan zou je een wereldwijde coördinatie over alle individuen en organisaties heen moeten opzetten om dat voor elkaar te krijgen. Dat vergt organisatie en dus overhead. Gaan al die individuen en organisaties zich laten leiden door een wereldwijde regelneef die het werk gaat verdelen? Of gaan ze zelf actief in de gaten houden wie waarmee bezig is en daar dus zelf tijd en energie in steken? En hoe regel je dat iedereen met talent die enthousiast dat soort puzzelwerk gaat doen zich daarbij aansluit? Want als niet iedereen dat doet houd je dubbel werk.

En heb je eraan gedacht dat het vinden van kwetsbaarheden geen concrete opdracht met een concrete uitkomst is? Men werkt niet aan de implementatie van een algoritme waarvan duidelijk is wat het precies moet doen, maar aan het vinden van alle manieren waarop iets onbedoeld kan gebeuren dat niet de bedoeling is, dat dus door niemand precies gespecificeerd is, en waarvan je helemaal niet vooraf weet of zoiets erin zit of niet. Er is geen enkele garantie dat iemand die daaraan werkt een fout die erin zit ook vindt. Als er meer individuen of teams parallel aan werken, ieder op hun eigen manier, of AI-algoritmes tegenwoordig, dan wordt de kans groter dat als er iets is het ook gevonden wordt. Kans, geen zekerheid. Maar als er dan parallel aan gewerkt wordt om de kans te vergroten, hoe zie je dan voor je dat je gaat voorkomen dat op twee plaatsen hetzelfde wordt gevonden? Je kent de uitkomsten niet van tevoren, zodat je ze kan inplannen, je weet pas dat er iets gevonden is als het gevonden is.

Dubbel werk voorkomen zou zo complex worden dat je er meer overhead mee creëert dan dat je ermee oplost.