USN-8868-1: otto CVE in LibreOffice, patch per Ubuntu 22.04, 24.04 e 26.04 LTS

Ubuntu ha pubblicato il 5 ottobre 2026 l'avviso di sicurezza USN-8868-1, che corregge otto vulnerabilità in LibreOffice. Riguarda chi gestisce workstation Linux o server con suite d'ufficio installata per conversioni documentali automatiche: alcune falle permettono l'esecuzione di codice arbitrario tramite file malevoli.

I problemi corretti

Secondo l'avviso ufficiale Ubuntu, i difetti riguardano la gestione di diversi formati di import:

• import di immagini WMF malformate: crash o esecuzione di codice (CVE-2026-63272)
• import di documenti PDF: crash o esecuzione di codice (CVE-2026-63273, CVE-2026-63274)
• font CFF incorporati nei documenti: crash o esecuzione di codice (CVE-2026-63275, CVE-2026-63276)
• validazione scorretta degli URL dei pacchetti: possibile esposizione di informazioni sensibili (CVE-2026-63278)
• import di immagini PICT: crash o esposizione di informazioni (CVE-2026-63279)
• scritture fuori limite tramite azioni dei font Graphite, mitigate in modo incompleto: crash o esecuzione di codice (CVE-2026-50593)

Il testo dell'avviso non entra nel dettaglio dei vettori di attacco oltre quanto riportato sopra.

Pacchetti e versioni corrette

Release Ubuntu	Nome in codice	Versione libreoffice corretta
26.04 LTS	resolute	4:26.2.6.3-0ubuntu0.26.04.2
24.04 LTS	noble	4:24.2.7-0ubuntu0.24.04.7
22.04 LTS	jammy	1:7.3.7-0ubuntu0.22.04.13

L'aggiornamento arriva come nuova release upstream, che include anche correzioni di bug non di sicurezza. Secondo Ubuntu, un normale aggiornamento di sistema (apt update && apt upgrade) applica tutte le modifiche necessarie.

Cosa fare

Su macchine Ubuntu 22.04, 24.04 o 26.04 con LibreOffice installato, va verificata la versione del pacchetto con apt-cache policy libreoffice e, se inferiore a quella indicata, lanciato l'aggiornamento. Non è richiesto riavvio del sistema, ma le istanze di LibreOffice già aperte vanno chiuse e riaperte per caricare i binari aggiornati.

Ubuntu ricorda inoltre, nello stesso avviso, che Ubuntu Pro offre copertura di sicurezza decennale su oltre 25.000 pacchetti dei repository Main e Universe, gratuita fino a cinque macchine.

Fonte: avviso ufficiale Ubuntu Security Notices, USN-8868-1, https://ubuntu.com/security/notices/USN-8868-1