LibreOffice-hul: Regneark kan køre kode uden advarsel

Et almindeligt regneark kan køre fremmed programkode på din computer, uden at LibreOffice eller Apache OpenOffice spørger dig om lov først. Ingen makro-advarsel, ingen gul bjælke øverst i vinduet, intet "vil du aktivere indhold?". Hullet blev offentliggjort 5. oktober 2026, og det rammer de to gratis kontorpakker meget forskelligt: LibreOffice har fået en rettelse samme dag. Apache OpenOffice har stadig ingen.

LibreOffice-fejlen har nummeret CVE-2026-63277 og er lukket i version 26.2.5 og 26.8.0. Alle tidligere versioner er berørte. Den tilsvarende fejl i Apache OpenOffice har nummeret CVE-2026-59265, og den er ikke rettet — heller ikke i den nyeste udgave, 4.1.16. Rettelsen ventes i 4.1.17, som i skrivende stund stadig er i test.

Det er ikke en makro — og det er hele pointen

Danske computerbrugere har i tyve år fået den samme besked: pas på makroer. Åbner du et dokument, der vil køre en makro, spørger programmet først, og du siger nej, hvis du ikke kender afsenderen. Det råd har reddet rigtig mange mennesker.

Det er præcis den vane, dette hul går uden om. Der er ingen makro i dokumentet, og derfor er der heller ingen af de advarsler, man har lært at reagere på. Forskerne bag fundet formulerer det selv sådan, at de opnår kodeudførelse uden nogensinde at bede brugeren om at stole på dokumentet, sådan som programmet ellers spørger, før det kører en makro.

Det er den egentlige nyhed. Ikke at der er fundet et hul i en kontorpakke — det sker i hundredvis hvert år, som Microsofts patch tuesday med over 400 sårbarheder illustrerede — men at hullet omgår den ene sikkerhedsvane, som almindelige brugere faktisk har lært. Og den ligner på den måde andre sager, hvor rettelsen endnu ikke findes, som da Microsoft Defender stod uden rettelse til et zero-day-hul.

Kæden: fra dataområde til fremmed kode

Mekanismen er værd at forstå, fordi den forklarer, hvorfor advarslen mangler. Et regneark i Calc kan indeholde et databaseområde: en blok celler, der henter sine data fra en kilde uden for filen og opdaterer dem automatisk. Det er en helt legitim og ret gammel funktion, som bruges i regnskab og rapportering.

Kæden ser kort fortalt sådan ud:

Ingen af de fem trin udløser et spørgsmål til brugeren, fordi programmet hele vejen igennem tror, at det bare henter data. Derfor ville det være forkert at kalde det "endnu en makro-fejl". Det er en datafunktion, der ender med at starte fremmed kode.

To forudsætninger skal være opfyldt. Den første er, at Java-understøttelse er slået til i programmet. Den anden er, at du åbner filen. Til gengæld er platformen uden betydning: Windows og Linux er ramt på lige fod.

Hullet blev fundet uafhængigt af to hold: Rick de Jager fra V12 security og Thomas Rinsma sammen med Edoardo Geraci fra Codean Labs. Rettelsen til LibreOffice er lavet af Caolán McNamara fra Collabora Productivity og består i, at Java-klassestien nu kun må pege på lokale filer — altså ikke længere på en adresse ude på nettet.

LibreOffice: opdater. OpenOffice: slå Java fra

Her skilles de to programmer, og det er vigtigt ikke at læse rådet som "opdater begge, så er du fri".

Kører du LibreOffice, er opgaven enkel. Opdater til 26.2.5 eller 26.8.0. Du kan hente den nyeste udgave direkte fra LibreOffice, og detaljerne står i projektets egen sikkerhedsbulletin. Herefter er netop denne kæde brudt.

Kører du Apache OpenOffice, findes der ingen opdatering at hente. Så længe 4.1.17 ikke er ude, er din reelle beskyttelse at fjerne forudsætningen — altså at slå Java fra:

1. Åbn menuen Funktioner (Tools i den engelske udgave)
2. Vælg Indstillinger
3. Gå til OpenOffice > Java
4. Fjern fluebenet ved "Brug et Java-runtime-miljø"
5. Tryk OK og genstart programmet

Apache beskriver selv samme fremgangsmåde på sin sikkerhedsside og lægger dertil det oplagte råd: lad være med at åbne regneark fra afsendere, du ikke kender. Det samme flueben findes i LibreOffice under LibreOffice > Avanceret, hvis du vil have begge dele på plads.

Betyder det, at du mister noget? For de fleste privatbrugere: nej. Java bruges i kontorpakkerne til databaseforbindelser, enkelte guider og visse udvidelser. Skriver du breve, laver budgetter og åbner PDF'er, vil du næppe mærke forskel. Har du derimod regneark på arbejdet, der henter data fra en database, skal du først tjekke, om de stadig virker — og regneark kan godt gå i stykker af en opdatering, som da Excel holdt op med at kunne kopiere og indsætte.

Hvorfor det rammer bredt i Danmark

Det er let at antage, at LibreOffice er noget, Linux-entusiaster bruger. Det er forkert, og derfor er denne sag større end den ser ud.

Komputer.dk har i årevis anbefalet LibreOffice til sine læsere som det gratis alternativ til Microsoft 365 — i artikler som "Gratis kontorpakke: Sådan bruger du LibreOffice", i serien "Redaktionen anbefaler: LibreOffice", i en decideret LibreOffice-e-bog og i sammenligningen "Hvilken GRATIS kontorpakke er bedst?". Det har virket: der sidder et stort og helt almindeligt dansk publikum med LibreOffice på maskinen, fordi de ikke ville betale for et Office-abonnement.

Den typiske danske bruger i denne sag er altså ikke en systemadministrator. Det er den, der installerede LibreOffice på sine forældres bærbare for at spare abonnementet — og som nu også er den, der skal opdatere den. Og det er værd at huske, at gratis ikke betyder uvedligeholdt: også betalte og helt almindelige programmer får den slags huller, hvad enten det er et kritisk hul i 7-Zip eller Microsofts egne Office-opdateringer, der går galt.

Er OpenOffice-brugerne så bare uheldige? Delvist. Apache OpenOffice har i mange år haft et langsommere udviklingstempo end LibreOffice, der blev udskilt fra samme kodebase. Når en fejl rammer begge, er det som regel LibreOffice, der har rettelsen først. Denne sag er et konkret argument for at skifte, hvis du stadig kører OpenOffice.

Søger du på sagen, får du et forkert svar

En sidste ting, som er værd at vide, før du selv googler. Søger du på dansk efter sikkerhedshuller i LibreOffice og OpenOffice, er et af de første resultater en artikel fra version2.dk med titlen "Alvorlige sikkerhedsbrist fundet i LibreOffice og Apache OpenOffice".

Den handler om noget helt andet. Artiklen er fra 5. februar 2019 og dækker CVE-2018-16858 — en fejl i pydoc.py, der blev udnyttet gennem ODT-tekstdokumenter og lukket i LibreOffice 6.0.7 og 6.1.3. Andet årti, andet filformat, anden mekanisme, andet CVE-nummer. Den beskriver altså ikke sagen fra oktober 2026, og versionsnumrene i den er ubrugelige i dag.

Det er en reel faldgrube: en læser, der falder over den artikel, kan tro, at historien er gammel og allerede håndteret, og dermed springe den opdatering over, der faktisk er brug for nu.

Konklusion

Hullet er indtil videre kun vist som et proof of concept, og der er ingen rapporter om, at det bliver brugt i egentlige angreb. Men den tekniske beskrivelse og en demonstration er offentlige, og det plejer at forkorte afstanden til de første reelle forsøg betydeligt — nøjagtigt som vi har set det i dækningen af The Hacker News og Securityonline.info.

Det, der skal holdes øje med i de kommende uger, er to ting: om Apache OpenOffice 4.1.17 faktisk lander, og om der dukker regneark op i mailindbakkerne, der udnytter kæden. Indtil 4.1.17 er ude, er Java-fluebenet den eneste rigtige beskyttelse for OpenOffice-brugere.

Og for alle andre gælder et råd, der er blevet lidt mere nuanceret, end det var i går: makro-advarslen er fortsat værd at tage alvorligt — men den fanger ikke alt. Et regneark fra en fremmed afsender er ikke harmløst, bare fordi der ikke kommer en advarsel frem.