この記事でわかること
- LibreOfficeで公表された脆弱性「CVE-2026-76181」の中身と、影響を受けるバージョン
- 攻撃が成り立つ条件と、どんな場面に気をつければよいか
- 自分のLibreOfficeが修正済みかを確かめる方法と、26.2系を使っている人の移行時期
LibreOfficeのdBASE処理に脆弱性、26.2.6／26.8.1以降なら修正済み
The Document Foundationは2026年11月5日、オフィスソフト「LibreOffice」の脆弱性「CVE-2026-76181」を公表しました。問題があったのは、dBASE形式のデータベースを読み込む機能です。修正済みのバージョンは「LibreOffice 26.2.6」と「LibreOffice 26.8.1」で、公式はそれぞれ以降のバージョンへの更新を推奨しています。
影響を受けるのは、26.2系の26.2.6より前と、26.8系の26.8.1より前、つまり26.8.0です。
修正版は今回の公表より前から配布されています。26.2.6は9月上旬、26.8.1は10月2日に公開され、10月29日には26.8.2も出ました。これらのバージョンへすでに更新していれば、今回のために追加でやることはありません。
細工されたインデックスファイルで、メモリの外へ書き込んでしまう
LibreOfficeは、dBASEのファイルが入ったフォルダーをデータソースとして使うとき、テーブルと一緒に「.ndx」というインデックスファイルを読み込みます。公式のセキュリティアドバイザリの説明では、このインデックスを読む処理で、ページに記録された項目数がページに収まる数を超えていないかを確かめていませんでした。そのため細工されたインデックスを読み込むと、確保したメモリ領域の外へ書き込んでしまう「ヒープバッファーオーバーフロー」が起きます。ページが自分自身を参照するように細工されると、読み込みが終わらなくなる問題もありました。
修正版では、項目数をページに収まる範囲に制限し、親のページを指し返す参照はたどらないようにしています。
脆弱性情報を扱うTrendAI Zero Day Initiative（ZDI）の勧告（ZDI-26-895）によると、dBASEのインデックスファイルは、LibreOffice Baseのデータベースファイル（.odb）から参照できます。悪用には、攻撃者が用意したファイルを利用者が開くといった操作が必要です。成功すれば、LibreOfficeを動かしている利用者の権限でコードを実行されるおそれがあります。11月7日時点で、公式とZDIの情報に、実際の攻撃で悪用されたという記載はありません。
なお公式によると、この脆弱性はAnthropicがAIエージェントでオープンソースのセキュリティを調べる取り組みのなかで「Claude」が見つけ、Ada Logicsが検証して報告したものです。ZDIと協力する匿名の研究者からも、別に報告が届いていました。
気をつけたいのは、出どころのわからない.odbファイル
公式とZDIの説明で示されている入口は、dBASEのデータソースと、それを参照するBaseのデータベースファイルです。メールやダウンロードで受け取った.odbファイルや、dBASEのファイル一式を開く場面が、いちばん注意の必要なところ。
ただ、受け取ったファイルが危険かどうかを、開く前に利用者が見分けるのは現実的ではありません。修正版はもう配られているので、使い方で迷うより、バージョンを確かめて更新するほうが確実です。
自分のLibreOfficeが修正済みか確かめる方法
バージョンは、LibreOfficeの［ヘルプ］メニューにある［LibreOfficeについて］で確認できます。Macでは、画面上部の［LibreOffice］メニューから［LibreOfficeについて］を開きます。表示された番号が次のどちらかに当てはまれば修正済みです。
- 26.2系：26.2.6以上
- 26.8系：26.8.1以上
古い場合は、公式サイトのダウンロードページから最新版を入手し、上書きでインストールすれば更新できます。LinuxでディストリビューションのパッケージとしてLibreOfficeを入れている場合は、修正がどの版に入ったかを各ディストリビューションのセキュリティ情報で確かめてください。
26.2系は11月30日でサポート終了、26.8系への移行を
26.2系のままでも、26.2.6以上なら今回の脆弱性は塞がっています。ただし26.2系のサポートは2026年11月30日まで。終了後はセキュリティ修正が届かなくなるため、早めに26.8系へ移っておくほうが安全です。
6月にサポートが終わった25.8系やそれ以前を使っている場合、今回の修正は提供されません。26.8系への更新が必要です。
