невзлом

К сведению · LibreOffice

Обновите LibreOffice до 26.2.6 или 26.8.1 — ошибка при работе с базами dBASE

Коротко. В LibreOffice закрыта ошибка в работе с базами формата dBASE: если подключить специально подготовленную папку с такими файлами как источник данных (это не обычное открытие письма в Writer), программа может зависнуть или аварийно закрыться. Debian в своём бюллетене дополнительно пишет, что из‑за ошибки потенциально возможен запуск чужого кода в процессе LibreOffice. Нужно ваше действие — самим подключить или открыть такой источник. Исправление: на ветке 26.2 — не ниже 26.2.6, на ветке 26.8 — не ниже 26.8.1. Подтверждённых атак нет.

Касается ли это вас.

  • Да, если стоит LibreOffice ветки 26.2 с номером ниже 26.2.6 или ветки 26.8 ниже 26.8.1.
  • Да, если у вас Debian 13 (trixie) и пакет libreoffice ещё не обновлён до версии безопасности из DSA-6615-1 (часто в «О программе» видно что‑то вроде 25.2.3 — смотрите именно обновление системы).
  • Скорее нет, если уже 26.2.6+ (ветка 26.2) или 26.8.1+ (ветка 26.8); на Debian 13 — если пакет уже не ниже 4:25.2.3-2+deb13u9.
  • Другой номер (не 26.2 и не 26.8) — см. блок «Если сразу не получается»; ориентир — advisory Document Foundation по CVE-2026-76181 (номер CVE текстом).
  • Не знаете — «Справка» → «О программе» (на macOS: меню LibreOffice → «О программе LibreOffice») и посмотрите номер.

Чем грозит. По описанию разработчиков LibreOffice — сбой или зависание программы при работе с вредоносным набором файлов dBASE. По формулировке Debian — также потенциально запуск кода в процессе LibreOffice. Это не «взлом без вашего участия по сети». Срочности «бросить всё сегодня» нет, но оставлять старую сборку на месяцы незачем. Если вы только пишете тексты и таблицы и базы не подключали — риск ниже; обновиться при случае всё равно полезно.

Что сделать в первую очередь.

  1. Откройте LibreOffice → Справка → О программе (macOS: LibreOffice → О программе) и запишите номер версии. Полностью закройте LibreOffice перед установкой обновления.
  2. Если ветка 26.2 и номер ниже 26.2.6, или ветка 26.8 и номер ниже 26.8.1 — скачайте обновление с libreoffice.org. С главной загрузки сейчас обычно свежая 26.8.x (уже закрывает ветку 26.8, если номер не ниже 26.8.1). Если остаётесь на ветке 26.2 — нужна именно 26.2.6 или новее этой ветки, а не «любая сборка новее 26.2.6» с другой ветки.
  3. На Debian 13 (trixie) поставьте обновление безопасности DSA-6615-1 обычным способом обновлений системы (пакеты libreoffice* до 4:25.2.3-2+deb13u9 или новее из security). Номер пакета Debian не сравнивайте «в лоб» с 26.2.6.
  4. Снова откройте «О программе» / проверьте версию пакета.

Получилось, если на ветке 26.2 видно не ниже 26.2.6, на ветке 26.8 — не ниже 26.8.1; на Debian 13 — пакет не ниже указанного в DSA. Не получается — см. ниже.

Что сделать во вторую очередь.

  1. Обновляйте LibreOffice вместе с системой / через сайт проекта, а не «раз в год».
  2. Не подключайте в LibreOffice Base / как источник данных чужие архивы «баз dBASE» из мессенджеров без проверки.
  3. Ubuntu: отдельного USN в наших источниках на 8 ноября 2026 ещё нет — не считайте «зелёный» только у системы достаточным; ориентир — номер LibreOffice или бюллетень Ubuntu, когда выйдет.

Если сразу не получается.

  • Нет прав администратора — перешлите готовый текст тому, кто ставит программы.
  • Стоит ветка не 26.2 и не 26.8 — сверьте номер с advisory Document Foundation по CVE-2026-76181 (номер текстом). Для Debian 12 (bookworm) на 8.11.2026 в DSA-6615-1 фикса нет — либо поставьте исправленную сборку с libreoffice.org, либо ждите обновления дистрибутива.
  • Пока обновить нельзя — не подключайте непроверенные папки dBASE как источник данных в LibreOffice.
  • «Патчи» с форумов не ставьте.

Готовый текст для того, кто ставит программы.

Здравствуйте! Нужно обновить LibreOffice из‑за CVE-2026-76181 (ошибка при работе с индексами dBASE). На ветке 26.2 — не ниже 26.2.6; на ветке 26.8 — не ниже 26.8.1 (с libreoffice.org). Debian 13 (trixie): DSA-6615-1, пакеты libreoffice* ≥ 4:25.2.3-2+deb13u9 из security. Подтверждённых атак нет. Подробности для специалиста: https://nevzlom.ru/ru/tech/2026-11-08-libreoffice/. Спасибо!

Версия для айтишника: https://nevzlom.ru/ru/tech/2026-11-08-libreoffice/

Источник. Document Foundation, security advisory CVE-2026-76181 (Fixed in 26.2.6/26.8.1; announced 05.11.2026) — номер CVE текстом. Скачать сборку: libreoffice.org/download. Для Debian: DSA-6615-1.