Falhas em LibreOffice e OpenOffice Executam Código Sem Aviso

Pesquisadores de segurança revelaram recentemente uma vulnerabilidade crítica que afeta duas das suítes de escritório de código aberto mais utilizadas no mundo: LibreOffice e Apache OpenOffice. A falha, identificada como CVE-2026-63277 no LibreOffice e CVE-2026-59265 no OpenOffice, permite que um invasor execute código arbitrário no sistema da vítima simplesmente ao abrir uma planilha maliciosa, sem qualquer aviso de macro. Este é um vetor de ataque particularmente perigoso, pois explora a confiança do usuário em arquivos aparentemente inofensivos, como planilhas de cálculo.

Anatomia do Ataque: Execução de Código sem Interação

O ataque descrito pelos pesquisadores é sofisticado e combina várias funcionalidades legítimas dos programas para alcançar a execução de código. O ponto de partida é uma planilha Calc (formato ODS) que contém um "intervalo de banco de dados" — um recurso que permite importar dados de fontes externas e atualizá-los automaticamente. O invasor configura esse intervalo para apontar para um arquivo de banco de dados ODB hospedado em um servidor remoto, acessível via URL.

Quando a vítima abre a planilha, o programa automaticamente baixa o arquivo ODB do servidor do invasor. Esse arquivo ODB, por sua vez, contém uma referência a um driver JDBC (Java Database Connectivity) e a localização do código do driver, que pode ser um arquivo JAR (Java Archive) também remoto. O programa então baixa o JAR e o carrega em seu próprio processo, executando o código do invasor. Todo esse processo ocorre sem nenhuma interação ou aviso ao usuário, ao contrário do que acontece com macros, que normalmente exibem um alerta de segurança.

É importante destacar que o ataque só funciona se o suporte a Java estiver habilitado no LibreOffice ou OpenOffice. Embora essa configuração não seja padrão em todas as instalações, muitos usuários a ativam para aproveitar recursos como conexão a bancos de dados ou certas extensões. Além disso, a vulnerabilidade foi demonstrada em sistemas Windows e Linux, indicando que não é específica de um sistema operacional.

Detalhes Técnicos e Impacto

O pesquisador Rick de Jager, da equipe de segurança V12, e Thomas Rinsma e Edoardo Geraci, da Codean Labs, relataram a falha de forma independente. A V12 publicou uma prova de conceito (PoC) que demonstra a execução de código abrindo a calculadora do sistema, mas o mesmo vetor poderia ser usado para executar qualquer código Java, como um backdoor, ransomware ou spyware. A gravidade é alta, pois o ataque não requer engenharia social além de convencer a vítima a abrir um arquivo.

O LibreOffice já corrigiu a vulnerabilidade na versão 26.2.5, lançada em 5 de outubro de 2026. Os usuários são fortemente aconselhados a atualizar para a versão 26.2.5 ou 26.8.0 imediatamente. O Apache OpenOffice, por outro lado, ainda não lançou uma correção; a versão atual 4.1.16 permanece vulnerável, e a correção está prevista para a versão 4.1.17, ainda em testes. Enquanto isso, os usuários do OpenOffice devem desabilitar o Java nas configurações do programa ou evitar abrir planilhas de fontes não confiáveis.

Riscos para Empresas e Usuários Individuais

Essa vulnerabilidade representa um risco significativo para ambientes corporativos, onde planilhas são frequentemente compartilhadas por e-mail ou armazenadas em repositórios de arquivos. Um invasor poderia enviar uma planilha maliciosa para funcionários de uma organização, visando comprometer endpoints e, a partir daí, mover-se lateralmente na rede. A ausência de avisos torna o ataque especialmente eficaz contra usuários que seguem boas práticas de segurança, mas confiam em arquivos de escritório.

Além disso, a exploração dessa falha pode levar a consequências graves, como roubo de credenciais, exfiltração de dados sensíveis e instalação de malware persistente. Em um cenário onde os dados são o novo petróleo, a perda de informações confidenciais pode resultar em danos financeiros e reputacionais irreparáveis. A Kzarka, plataforma especializada em monitoramento de vazamentos de dados, alerta que incidentes como esse frequentemente são o primeiro passo para violações maiores.

Indicadores de Comprometimento (IOCs) Potenciais

Embora a exploração específica dessa vulnerabilidade ainda não tenha sido observada em ataques reais (apenas em PoC), é prudente monitorar os seguintes indicadores que podem sugerir uma tentativa de exploração:

• Tráfego de rede suspeito: Conexões de saída para URLs que hospedam arquivos ODB ou JAR não usuais, especialmente a partir de processos do LibreOffice ou OpenOffice.
• Arquivos temporários inesperados: Presença de arquivos .odb ou .jar em diretórios temporários do usuário, baixados sem ação explícita.
• Processos Java anômalos: Execução de processos Java filhos do LibreOffice/OpenOffice que não correspondem a atividades normais, como conexões de banco de dados.
• Alterações no registro (Windows) ou em arquivos de configuração: Modificações que habilitam o Java ou adicionam drivers JDBC não autorizados.

Recomenda-se que equipes de segurança configurem sistemas de detecção de intrusão (IDS) e monitorem logs de firewall para identificar padrões de download de arquivos ODB/JAR de domínios não confiáveis.

Lições Aprendidas e Conexão com Ameaças Emergentes

Esta vulnerabilidade destaca a importância de manter todos os softwares atualizados e de desconfiar de arquivos recebidos de fontes desconhecidas, mesmo que pareçam inofensivos. O ataque explora a confiança inerente ao formato de planilha, que raramente é associado a riscos de segurança. Em um contexto mais amplo, vemos um aumento no uso de vetores de ataque baseados em documentos, como evidenciado por outras campanhas recentes.

Por exemplo, o caso do TeamPCP demonstrou como ataques de phishing e comprometimento da cadeia de suprimentos podem ser usados para distribuir malware em larga escala. Da mesma forma, a exploração de vulnerabilidades em software amplamente utilizado, como a descrita aqui, pode servir como vetor inicial para ataques mais elaborados.

Outro ponto de atenção é o sequestro de contas em redes sociais, uma ameaça crescente que muitas vezes começa com a instalação de malware via documentos maliciosos. Uma vez que o invasor obtém acesso ao sistema da vítima, ele pode roubar cookies de sessão, capturar credenciais e assumir o controle de perfis em plataformas como Instagram, Facebook e LinkedIn. Esse tipo de ataque pode levar à disseminação de spam, golpes de phishing e danos à reputação pessoal e corporativa. Para mitigar esses riscos, é essencial adotar autenticação de dois fatores (2FA), revisar regularmente as sessões ativas e monitorar atividades suspeitas nas contas.

Medidas de Mitigação e Recomendações

Diante dessa vulnerabilidade, recomendamos as seguintes ações imediatas:

• Atualizar o LibreOffice para a versão 26.2.5 ou superior imediatamente. Se você usa Apache OpenOffice, considere migrar temporariamente para o LibreOffice ou desabilitar o Java nas configurações.
• Desabilitar o Java em programas de escritório, a menos que seja absolutamente necessário para suas atividades.
• Educar os usuários sobre os riscos de abrir arquivos de fontes desconhecidas, mesmo que pareçam ser planilhas ou documentos comuns.
• Implementar filtros de e-mail e web que bloqueiem anexos suspeitos e URLs para domínios não categorizados.
• Monitorar a rede em busca de tráfego para servidores externos que hospedam arquivos ODB ou JAR, conforme os IOCs listados acima.

Além disso, é crucial que organizações e indivíduos adotem uma postura proativa em relação à segurança digital. A Kzarka oferece monitoramento contínuo de vazamentos de dados e alertas em tempo real se suas informações pessoais forem expostas na dark web. Em um cenário onde as ameaças evoluem rapidamente, contar com uma plataforma de proteção de identidade digital é um passo essencial para mitigar riscos.

Para saber mais sobre como a Kzarka pode ajudar a proteger sua identidade digital e monitorar possíveis vazamentos de dados, visite nosso site e verifique se seus dados já foram comprometidos.