Der BSI-Warn- und Informationsdienst (WID) hat am 14.10.2026 ein als „hoch" eingestuftes Update-Advisory zu mehreren Schwachstellen in LibreOffice veröffentlicht. Die Meldung mit der Kennung WID-SEC-2026-3738 beschreibt als Angriffsszenario einen lokalen Angreifer, der Informationen offenlegen, Daten manipulieren und beliebigen Code ausführen kann. Betroffen sind alle, die LibreOffice einsetzen – vom privaten Nutzer bis zu Behörden, Unternehmen und KRITIS-Betreibern, die den WID-Feed abonnieren. Wer die LibreOffice-Schwachstellen schließen will, braucht allerdings eine zweite Quelle: Das Advisory selbst nennt weder CVE-Nummern noch betroffene Versionsstände.
LibreOffice-Schwachstellen: Was das WID-Advisory nennt – und was nicht
Die Meldung beschreibt die Auswirkungen, bleibt bei den technischen Details aber vage. Genannt werden drei mögliche Folgen einer Ausnutzung: Offenlegung von Informationen, Manipulation von Daten und Ausführung beliebigen Codes. Welche Komponenten betroffen sind und über welchen Weg ein Angreifer ansetzt, geht aus dem abgerufenen Inhalt nicht hervor.
Bemerkenswert ist die Formulierung „lokaler Angreifer". Sie deutet darauf hin, dass die Ausnutzung lokalen Zugriff auf das System voraussetzt – eine Fernangriffsfläche wird nicht behauptet. Auch der Zusatz „[UPDATE]" im Feed-Eintrag ist einzuordnen: Er markiert eine Aktualisierung einer bereits veröffentlichten Meldung. Ob dabei Inhalte ergänzt oder nur redaktionell nachgeführt wurden, lässt sich aus den Quellen nicht ableiten.
Welche CVEs die LibreOffice-Advisories auflisten
Zeitlich und thematisch passend veröffentlichte die Document Foundation am 05.10.2026 Advisories zu LibreOffice 26.2.5 und 26.8.0. Die offizielle Sicherheitsseite führt unter anderem diese behobenen Lücken:
- CVE-2026-63277 – Ausführung von Code über die JDBC-Datenquelle: Ein Dokument konnte einen Java-Datenbanktreiber von einem entfernten Ort nachladen. Der Fix verlangt, dass der Java-Classpath-Eintrag eine File-URL ist.
- CVE-2026-63266 – beliebiges Schreiben von Dateien über
calcext:data-mappings, SQL-Provider und Firebird-Backup. Eingebettete Firebird-Datenbanken dürfen nur noch im eigenen Verzeichnis Dateien öffnen oder anlegen. - CVE-2026-63267 – Local File Inclusion und GET-basiertes SSRF über
calcext:data-mappingsund den CSV-Provider. - CVE-2026-63268 – Local File Inclusion über
calcext:data-mappings, SQL-Provider und einesdbc:flat:file://-Datenbankreferenz. - CVE-2026-63269 – Local File Inclusion und GET-SSRF über GStreamer und HLS-Playlists (Linux).
- CVE-2026-63270 – Offenlegung von Umgebungs- und Ini-Dateiinhalten; ein früherer Check für CVE-2024-12426 deckte nicht alle Stellen ab, XForms-Instanzdaten sowie Calc-CSV- und -SQL-Provider erreichten die Expansion dennoch.
- CVE-2026-63272 – Heap-Buffer-Overflow beim Import von WMF-Textrecords, angekündigt am 21.09.2026, Fix in 26.2.5.
Als meldende Personen nennt die Sicherheitsseite für CVE-2026-63277 Rick de Jager (V12 security team) sowie Thomas Rinsma und Edoardo Geraci (Codean Labs); den Fix schrieb Caolán McNamara (Collabora Productivity). Bei den übrigen CVEs werden Rinsma und Geraci als Reporter geführt. CVE-2026-63277 wird außerdem im Zusammenhang mit einem vergleichbaren Fall in OpenOffice (CVE-2026-59265) behandelt, samt Einordnung des Proof-of-Concept-Status und konkreten Handlungsempfehlungen.
Warum die CVEs nicht sicher zum WID-Advisory gehören
So gut die CVEs inhaltlich zur WID-Meldung passen – belegen lässt sich die Zuordnung nicht. Das WID-Advisory nennt keine CVE-Nummern, und die Advisories der Document Foundation erwähnen WID-SEC-2026-3738 nicht. Beide Ebenen sollten deshalb strikt getrennt bleiben: hier die BSI-Warnung mit Risikostufe und Angriffsfolgen, dort die konkreten Lücken mit Versions- und Fixangaben. Ein Satz wie „LibreOffice 26.2.5 schließt WID-SEC-2026-3738" wäre eine Behauptung, die keine der vorliegenden Quellen stützt.
Das Muster ist nicht neu: Schon früher hat der WID LibreOffice-Meldungen veröffentlicht, etwa WID-SEC-2026-1929, das mit einem CVSS-Base-Score von 6,6 (mittel) geführt wurde. Dass es mehrere, teils unabhängige Advisory-Reihen zu derselben Software gibt, ist also nichts Ungewöhnliches.
Patch auf 26.2.5 oder 26.8.0: Was zu tun ist
Als einzige dokumentierte Maßnahme nennt das LibreOffice-Advisory das Upgrade auf Version 26.2.5 oder neuer beziehungsweise 26.8.0 oder neuer. Einen Workaround führen die vorliegenden Quellen nicht auf – wer kurzfristig nicht patchen kann, findet dort also keine Rückfalllösung. Für Admins heißt das konkret: installierten Versionsstand prüfen, Update einplanen und Rechner priorisieren, auf denen Dokumente aus unsicheren Quellen geöffnet werden. Genau dort setzen mehrere der gelisteten Lücken an.
Einordnung: Open Source, BSI und die alte RCE-Frage
Das BSI beschäftigt sich seit September 2023 in einem eigenen Projekt mit der Sicherheit von LibreOffice; Verbesserungen flossen ab Version 24.8 ein. Dass nun eine als „hoch" eingestufte Meldung erscheint, widerspricht dem nicht – es zeigt eher, wie aufmerksam die Suite inzwischen beobachtet wird.
Auch die Grundmechanik ist bekannt: Bereits in früheren Jahren gab es RCE-Lücken in LibreOffice und OpenOffice, etwa CVE-2024-3044 (CVSS 8.8, Mai 2024) oder CVE-2025-0514 (LibreOffice 24.8 < 24.8.5, Windows, Hyperlink-Validierung). Bei einer vergleichbaren Code-Execution-Lücke in beiden Suiten wurde nur für LibreOffice ein Patch bereitgestellt – ein Hinweis darauf, wie unterschiedlich die beiden Projekte auf solche Meldungen reagieren. Wer OpenOffice einsetzt, sollte die eigene Patch-Lage gesondert prüfen.
Das WID-Advisory ist damit ein Weckruf, aber kein technischer Bauplan. Wer die Meldung ernst nimmt, prüft die installierte Version, aktualisiert auf 26.2.5 oder 26.8.0 und trennt in der internen Kommunikation sauber zwischen der BSI-Warnung und den konkreten CVEs. Alles andere wäre Spekulation.