CVE-2026-59265: уязвимость в Apache OpenOffice позволяет захватить систему при открытии документа
В Apache OpenOffice 4.1.16 и более ранних версиях обнаружена уязвимость выполнения кода в интеграции с Java. Открытие специально созданного недоверенного документа может привести к выполнению произвольного, в том числе удалённого, кода и полному захвату системы. Исправление ожидается в версии 4.1.17.
Подробности
Уязвимости присвоен идентификатор CVE-2026-59265. Она затрагивает Apache OpenOffice версии 4.1.16 и все более ранние выпуски. Согласно описанию, проблема относится к классу выполнения кода (code execution) и кроется в интеграции с Java. Эксплуатация не требует сложных условий: достаточно, чтобы пользователь открыл специально сформированный недоверенный документ. В этот момент может сработать выполнение произвольного кода — в том числе загруженного с удалённого ресурса. Подобный сценарий делает атаку особенно опасной: вредоносный файл может распространяться под видом обычного офисного документа, а его открытие приводит к компрометации системы. Точное значение базовой оценки CVSS в записи CVE не приводится, однако характер уязвимости — удалённое выполнение кода при взаимодействии с пользователем — традиционно относится к наиболее критичным категориям. На момент публикации исправленной версии ещё нет: устранение уязвимости ожидается в Apache OpenOffice 4.1.17, которая находится на стадии релиз-кандидата.Что делать
До выхода версии 4.1.17 Apache рекомендует применить обходное решение. Необходимо отключить интеграцию со средой выполнения Java в диалоге настроек (Preferences) — это полностью блокирует вектор атаки. Если отключить Java-интеграцию невозможно, либо в качестве дополнительной меры предосторожности, следует полностью отказаться от открытия недоверенных файлов. После выпуска Apache OpenOffice 4.1.17 необходимо обновиться до этой версии — именно она устраняет уязвимость. Описанные меры стоит довести до всех сотрудников, работающих с OpenOffice, а также учесть риск при обработке входящих документов из внешних источников. Итог: CVE-2026-59265 — серьёзная уязвимость выполнения кода, эксплуатация которой требует лишь открытия вредоносного документа. До релиза 4.1.17 защита сводится к отключению Java-интеграции и отказу от открытия недоверенных файлов; после выхода обновления — к незамедлительному апгрейду.Источник: CVE Project (cvelistV5)