LibreOffice Calc: Remote Code Execution über Java-JDBC-Treiber in Datenverknüpfung
Zusammenfassung
LibreOffice Calc kann eine Verknüpfung von einem Zellbereich zu einer externen Datenquelle in einem Dokument speichern. Ein präpariertes Dokument kann einen Java-Datenbanktreiber angeben, der von einem entfernten Standort geladen wird, sodass beim Öffnen des Dokuments Java-Code von diesem Standort ausgeführt werden kann. Voraussetzung ist, dass die Benutzerin oder der Benutzer die Datei öffnet und Java- und JDBC-Unterstützung in LibreOffice installiert und aktiviert ist.
Betroffen
- LibreOffice 26.2 vor 26.2.5
- Ob die 26.8-Linie vor 26.8.0 betroffen war, ist unbekannt.
Behoben in
- LibreOffice 26.2.5
- LibreOffice 26.8.0
- Auf 26.2.5 oder 26.8.0 oder neuer aktualisieren.
Umgehung
- Java in LibreOffice deaktivieren, wo es nicht benötigt wird. Der Menüpfad unterscheidet sich je nach Version, daher in der installierten Version prüfen (Extras > Optionen > LibreOffice > Erweitert, oder Extras > Optionen > OpenOffice > Java).
- Einträge im Java-Klassenpfad auf Datei-URLs beschränken; dies entspricht der Änderung im Fix.
Ausnutzung
- Öffentlicher Proof of Concept verfügbar (V12 Security).
- Keine Ausnutzung in freier Wildbahn gemeldet.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Aufnahme im CISA-KEV-Katalog nicht verifiziert.
Unsere Empfehlung
- LibreOffice auf allen Arbeitsstationen auf 26.2.5 oder 26.8.0 aktualisieren.
- Bis zur Aktualisierung Java in LibreOffice deaktivieren, wo es nicht erforderlich ist.
- Per E-Mail erhaltene oder aus dem Internet heruntergeladene Tabellen mit Vorsicht behandeln.
- Installierte LibreOffice-Versionen und Java-Einstellungen im Inventar prüfen.
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (1 Repositories)
HORKimhab/CVE-2026-63277
Quellen der Recherche
- LibreOffice security advisory CVE-2026-63277 www.libreoffice.org
- Red Hat CVE-2026-63277 access.redhat.com
- Debian security tracker: libreoffice security-tracker.debian.org
- VulDB entry 413593 vuldb.com
- V12 Security PoC repository (LibreOffice) github.com
- Byteiota: patch now or disable Java byteiota.com
- CyberKendra: LibreOffice/OpenOffice Calc RCE www.cyberkendra.com
- The Hacker Wire: CVE-2026-63277 www.thehackerwire.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 11:28.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.