【セキュリティニュース】2026年10月8日号｜LibreOffice Calcにファイルを開くだけでJavaコード実行の脆弱性（CVE-2026-63277）・JPCERT/CCが国内の不正アクセス多発で注意喚起
公開
The Document Foundation公表／ROCKET BOYS・securityonline ほか｜ 2026年10月5日公表
LibreOffice Calcに細工した表計算ファイルを開くだけでJavaコードが実行され得る脆弱性（CVE-2026-63277）――PoC公開済み、26.2.5／26.8.0以降へ更新を
The Document Foundationは2026年10月5日、LibreOffice Calcの脆弱性CVE-2026-63277（CVSS v4.0：8.5、High）を公表しました。Calcの外部データ連携とJDBCの仕組みを悪用し、細工された表計算ファイルからリモートに置かれたJavaのデータベースドライバを読み込ませることで、Javaコードを実行できる可能性があります。利用者がファイルを開くだけで成立し、マクロを有効化する必要はありません。Java機能が利用できる環境が攻撃の条件になります。
修正版はLibreOffice 26.2.5および26.8.0以降で、Javaクラスパスに指定できる場所をローカルのファイルに制限する修正が入りました。同時に、任意ファイル書き込み（CVE-2026-63266）やローカルファイル読み取り（CVE-2026-63267〜63270、いずれもCVSS v4.0で6.7〜6.8）も修正されています。CVEレコード上、実際の攻撃での悪用は確認されていませんが、発見者による技術情報とPoC（概念実証コード）が公開されており、悪用されやすい状況です。Apache OpenOfficeにも同系統の問題（CVE-2026-59265）があり、Javaランタイム統合を無効化することで攻撃を防げるとされています。
LibreOfficeを使っている場合、取引先・顧客・外部から受け取るあらゆるファイルが攻撃の入口になります。「信頼できる相手からのファイルだから大丈夫」とは言えません。相手のPCが感染していれば、悪意あるファイルが送られてくる可能性があります。無償で使えるオフィスソフトだからこそ、更新管理が後回しになりがちです。
- LibreOfficeのバージョンを確認し、26.2.5以降（26.2系）または26.8.0以降に更新する（メニュー「ヘルプ」→「LibreOfficeについて」で確認）
- 社内で使用しているLibreOfficeのバージョンを一覧化し、更新作業の担当者を決める
- 更新が完了するまでの間は、「ツール」→「オプション」→「詳細」でJava実行環境の使用を無効にする（Java機能を業務で使っていない場合）
- LibreOfficeを使用している全員に注意喚起し、不審な表計算ファイルは開かないよう周知する
JPCERT/CC公表（JPCERT-AT-2026-0030）｜ 2026年10月8日公表
JPCERT/CCが国内組織の不正アクセス多発について注意喚起――API悪用・管理不備の探索・Metabase脆弱性の3つの手口を提示
JPCERT/CCは2026年10月8日、「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」（JPCERT-AT-2026-0030）を公表しました。2026年9月前後から国内組織で不正アクセスによる個人情報等の漏えいが相次いでいることを受けたもので、把握している情報は限定的かつ断片的であり、すべての事案が同じ手口とは限らないと明記しています。
注意喚起では、①既知の脆弱性や管理不備の探索、②APIを経由した不正操作、③データ分析ツール「Metabase」の脆弱性（CVE-2026-72898）の悪用、の3つの手口を取り上げています。対象はWebサイトやアプリに限らず、BIツールや社内管理システムも含まれます。企業向けには、API経由のアクセスに対するリクエスト件数の制限、エンドポイントごとのアクセス制御、トークンの有効期限設定などの点検項目と、アクセス元地域の制限、修正済みアップデートの適用、不要な管理機能の公開停止、保存期限を過ぎたデータの削除などの汎用対策が示されています。
JPCERT/CCが注意喚起を出すほど被害が集中しており、特定のツールや手法が使い回されている可能性があります。直接の被害を受けていなくても、攻撃者が同じ手口で次の標的を探している可能性があるため、基本的なセキュリティ対策を今一度確認してください。
- 自社や委託先が提供しているAPIを洗い出し、認証・レート制限・アクセス制御の有無を確認する
- 外部公開しているWebサービス・APIの認証・ログイン試行制限・WAFの設定を確認する
- 業務システムへのアクセス権を最小限に絞り、不要なアカウントを無効化する
- 不正アクセスを検知した場合の初動手順（ネットワーク遮断・報告ルート）を確認し、関係者に共有しておく
編集部まとめ
今号の最優先はLibreOffice CVE-2026-63277の更新です。PoCが公開されています。ファイルを開くだけでコードが実行されるという脆弱性は、日常業務の中で知らないうちに被害を受けるリスクがあります。あわせて、JPCERT/CCの注意喚起が示すとおり10月は不正アクセスが多発しています。外部公開システムのアクセスログ確認と、基本的な認証設定の見直しを今週中に実施することをお勧めします。
参考情報
- 「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」JPCERT/CC
- 「LibreOffice 複数の脆弱性を修正」ROCKET BOYS
- 「LibreOffice Calc vulnerability CVE-2026-63277」securityonline
- 「2026年最新 サイバー攻撃・情報漏洩の事例まとめ」セキュリティ対策Lab