OpenOffice : des failles corrigées, les installations à vérifier

Des correctifs pour plusieurs risques

Le CERT-FR a publié le 5 novembre 2026 un avis sur plusieurs vulnérabilités d’OpenOffice. Il signale notamment des risques d’exécution de code arbitraire à distance et d’atteinte à la confidentialité ou à l’intégrité des données. Pour une entreprise équipée, la décision à prendre est de faire vérifier les installations et de programmer leur correction.

Les bulletins Apache donnent des exemples concrets. La vulnérabilité CVE-2026-90634 concerne l’importation de PDF chiffrés : un fichier spécialement préparé peut provoquer un plantage ou une corruption de mémoire. Une autre, CVE-2026-59263, permet à un document manipulé d’afficher un contenu substitué susceptible de tromper l’utilisateur. Apache indique ne connaître aucune exploitation de ces deux vulnérabilités dans leurs bulletins respectifs.

Les installations anciennes sont concernées

Le CERT-FR vise les versions antérieures à 4.1.17. Les deux bulletins Apache précisent que toutes les versions 4.1.16 et plus anciennes sont affectées ; les anciennes versions portant le nom OpenOffice.org peuvent également l’être.

Le contrôle doit donc porter sur la version réellement installée. Pour la personne chargée de l’intervention, Apache indique que cette information se trouve dans le menu « Help - About OpenOffice ». Les notes de version donnent aussi une référence précise pour vérifier la nouvelle installation : AOO4117m2, Build ID 9818, révision 49c05bc6fd.

La correction est disponible depuis octobre

Apache a annoncé OpenOffice 4.1.17 le 14 octobre 2026 et recommande la mise à jour aux utilisateurs des versions 4.1.16 et antérieures. L’avis du CERT-FR du 5 novembre est donc postérieur à la disponibilité de cette correction.

Aucune date limite de déploiement n’est fixée dans cet avis. Il s’agit d’une recommandation de sécurité à traduire en intervention, avec un responsable et un contrôle de réalisation.

Organiser et vérifier la mise à jour

• Faites relever les versions installées et identifier les postes concernés.
• Confiez la mise à jour vers 4.1.17 à la personne responsable de ces postes, après lecture des notes de version et de leurs problèmes connus.
• Utilisez la page officielle de téléchargement indiquée par Apache et faites vérifier le fichier selon son guide de contrôle d’intégrité.
• Après installation, faites contrôler le numéro de version et la référence de construction dans la fenêtre d’information du logiciel.

Pour l’entretien des protections et les mises à jour des composants couverts, VCSTS intervient dans le périmètre de sécurité qui lui est confié.