كشف باحثون أمنيون عن ثغرات خطيرة تؤثر على برامجي LibreOffice وApache OpenOffice، تسمح للمهاجمين بتنفيذ تعليمات برمجية خبيثة بمجرد فتح ملف جدول بيانات مُعد خصيصًا لهذا الغرض، وذلك دون ظهور أي رسائل تحذير للمستخدم من النوع المعتاد الذي يسبق تشغيل وحدات الماكرو (Macros).
وتثير هذه الثغرات مخاوف واسعة داخل مجتمع الأمن السيبراني، نظرًا لأن جداول البيانات تُعد من أكثر أنواع الملفات تداولًا داخل المؤسسات والشركات، كما أن الهجوم يعتمد على خصائص مدمجة ومشروعة داخل البرامج نفسها، ما يجعل اكتشافه أكثر صعوبة مقارنة بأساليب الهجوم التقليدية.
كيف تعمل الثغرة دون الحاجة إلى وحدات ماكرو؟
وفقًا للباحثين، يعتمد الهجوم على سلسلة من الوظائف المدمجة داخل برنامجي LibreOffice Calc وOpenOffice Calc، والتي صُممت أساسًا لتسهيل استيراد البيانات من قواعد بيانات ومصادر خارجية.
وتبدأ العملية عندما يحتوي ملف جدول البيانات على ما يعرف باسم “Database Range” أو نطاق قاعدة البيانات، وهو مجموعة من الخلايا تستطيع سحب البيانات من مصدر خارجي وتحديث محتواها تلقائيًا.
وفي الحالة الخبيثة، يتم إعداد الملف بحيث يشير إلى ملف قاعدة بيانات خارجي من نوع ODB موجود على خادم يتحكم فيه المهاجم. وعند فتح الملف، يبدأ البرنامج تلقائيًا في تحميل ملف قاعدة البيانات المشار إليه.
ولا تتوقف العملية عند هذا الحد، إذ يمكن لملف ODB أن يحدد برنامج تشغيل لقواعد البيانات من نوع JDBC، ويشير إلى موقع ملف JAR يحتوي على تعليمات Java البرمجية اللازمة لتشغيله، سواء كان الملف موجودًا على الإنترنت أو على خادم بعيد.
وبمجرد تنزيل الملف، يقوم البرنامج بتحميل برنامج التشغيل وتشغيله تلقائيًا داخل التطبيق، وهو ما يؤدي فعليًا إلى تنفيذ الشيفرة البرمجية التي أعدها المهاجم دون الحاجة إلى أي موافقة إضافية من المستخدم.
ويرى الباحثون أن المشكلة الأمنية الحقيقية لا تكمن في وظيفة واحدة بعينها، بل في دمج مجموعة من الوظائف المشروعة التي تنتهي في النهاية إلى تنفيذ تعليمات برمجية كاملة دون المرور عبر آليات التحذير التي تحمي المستخدمين عادة عند تشغيل وحدات الماكرو.
LibreOffice يسارع إلى الإصلاح وOpenOffice ينتظر التحديث
أكد مشروع LibreOffice أنه عالج الثغرة التي تتبع المعرف CVE-2026-63277 من خلال تحديثات أمنية أُطلقت في الخامس من أكتوبر 2026.
ودعا المطورون المستخدمين إلى الترقية الفورية إلى الإصدار 26.2.5 أو الإصدار 26.8.0، موضحين أن جميع الإصدارات السابقة لهذه النسخ تتأثر بالثغرة الأمنية.
في المقابل، لم يطرح مشروع Apache OpenOffice تصحيحًا نهائيًا حتى الآن للثغرة المقابلة المسجلة تحت الرقم CVE-2026-59265.
وبحسب القائمين على المشروع، فإن جميع الإصدارات الحالية وحتى النسخة 4.1.16 تعدّ عرضة للهجوم، فيما يجري اختبار الإصدار 4.1.17 المتوقع أن يتضمن الإصلاح الأمني المطلوب.
وإلى حين صدور التحديث، نصح المطورون مستخدمي OpenOffice بإيقاف دعم Java من إعدادات البرنامج أو الامتناع عن فتح ملفات جداول البيانات غير الموثوقة.
إثبات عملي يؤكد إمكانية الاستغلال
حتى الآن، لم تُسجل أي هجمات فعلية معروفة تستغل هذه الثغرات في بيئات الإنتاج الحقيقية، إلا أن الباحثين نجحوا في تطوير نموذج عملي لإثبات إمكانية الاستغلال.
وخلال التجارب التي أجروها، استخدمت الشيفرة الخبيثة ملفًا تجريبيًا يقوم بفتح تطبيق الآلة الحاسبة فقط لإثبات نجاح التنفيذ، وهو أسلوب شائع بين الباحثين الأمنيين لتجنب إحداث أضرار فعلية أثناء الاختبارات.
لكن الباحثين أوضحوا أن نفس الآلية يمكن أن تُستخدم لتنفيذ أي تعليمات Java يختارها المهاجم، بما يشمل تنزيل برمجيات ضارة إضافية أو سرقة المعلومات أو تثبيت أدوات للوصول عن بعد إلى الأجهزة المستهدفة.
كما أظهرت الاختبارات أن الثغرة تعمل على أنظمة Windows وLinux على حد سواء، ما يعني أن الخطر لا يرتبط بمنصة تشغيل محددة، بل بطريقة تعامل البرامج مع مكونات Java وقواعد البيانات الخارجية.
لماذا تثير هذه الثغرة قلق خبراء الأمن؟
عادة ما تعتمد تطبيقات المكتب الحديثة على آليات حماية متقدمة تمنع تنفيذ التعليمات البرمجية الخطرة دون موافقة المستخدم، خصوصًا عند التعامل مع وحدات الماكرو التي تُعد وسيلة شائعة لنشر البرمجيات الخبيثة.
غير أن الثغرتين الجديدتين تلتفان فعليًا على هذا النموذج الأمني من خلال استغلال وظائف لا تُصنف ضمن آليات الماكرو التقليدية، ما يسمح بتنفيذ الشيفرة دون إظهار رسائل التحذير المتوقعة.
ويمثل هذا النوع من الهجمات تحديًا متزايدًا أمام المؤسسات، لأن المستخدمين اعتادوا ربط المخاطر بنوافذ التحذير الخاصة بالماكرو، بينما تعتمد هذه التقنية على خصائص تشغيلية تبدو طبيعية بالكامل أثناء فتح الملف.
كما تعكس الحادثة توجهًا متناميًا في عالم الأمن السيبراني نحو استغلال الوظائف المشروعة داخل التطبيقات بدلاً من الاعتماد على الثغرات البرمجية التقليدية فقط، وهو ما يصعّب من مهمة حلول الحماية التي تعتمد أساسًا على اكتشاف السلوكيات غير المعتادة.
