LibreOffice-Lücke CVE-2026-76181: Manipulierte dBase-Dateien können Programm lahmlegen
Veröffentlicht am: 09.11.2026 um 15:23 Uhr | Redaktion boerse-global.de
Der Warn- und Informationsdienst des Bundesamts für Sicherheit in der Informationstechnik stuft eine neu bekannt gewordene Sicherheitslücke in der Open-Source-Bürosoftware LibreOffice mit dem Schweregrad mittel ein. Ein entfernter, nicht authentifizierter Angreifer kann die Schwachstelle ausnutzen, um das Programm über einen Denial-of-Service-Angriff zum Absturz zu bringen oder lahmzulegen.
Ursache im dBase-Import und Pufferüberlauf
Hintergrund der Warnung ist die Sicherheitslücke CVE-2026-76181. Das Problem entsteht durch einen Pufferüberlauf bei der Verarbeitung manipulierter dBase-Datenbankdateien beziehungsweise deren Indexdateien mit der Endung .ndx, die aus einer Datenbankdatei (.odb) heraus referenziert werden.
Unter der Kennung ZDI-26-895 wird diesbezüglich eine ungeprüfte Kopie in einen Heap-Puffer sowie eine Endlosrekursion beschrieben, die den Denial-of-Service-Zustand herbeiführt.
Nach bisherigen Erkenntnissen erfordert ein erfolgreicher Angriff, dass Anwender eine eigens präparierte Datei lokal öffnen oder eine Webadresse ansteuern, auf der entsprechende Dokumente verarbeitet werden.
Für CVE-2026-76181 liegt kein CVSS-Score vor, und bestätigte Angriffe wurden bislang nicht registriert. Debian wies im Rahmen der Sicherheitsankündigung DSA-6615-1 darauf hin, dass der Pufferüberlauf unter Umständen auch zur Ausführung von beliebigem Code führen könnte.
Bereitstellung von Sicherheitsupdates
The Document Foundation hatte bereits am 5. November 2026 ein Upstream-Aviso zu CVE-2026-76181 herausgegeben. Die Entwickler schlossen die Sicherheitslücke in den Upstream-Versionen LibreOffice 26.2.6 und 26.8.1. Das Debian-Projekt reagierte mit dem Update DSA-6615-1 und stellt das bereinigte Paket libreoffice in der Version 4:25.2.3-2+deb13u9 für die Distribution Debian 13 trixie zur Verfügung. Ein funktionierender Workaround abseits einer Paketaktualisierung existiert nicht.
Am 29. Oktober 2026 erschien zudem LibreOffice 26.8.2, während für den älteren Versionszweig 26.2 am 3. November 2026 ein Wartungsupdate bereitgestellt wurde. Der reguläre Support für die Reihe 26.2 endet zum 30. November 2026.
Wer auf Open-Source-Lösungen setzt, sollte die Sicherheit seines Systems stets im Blick behalten und die Software optimal konfigurieren. Dieser kostenlose Ratgeber zeigt Ihnen Schritt für Schritt, wie Sie LibreOffice wie ein Profi einsetzen und worauf es bei der Installation ankommt. Holen Sie sich jetzt das gratis Startpaket
Die dBase-Lücke folgt auf eine weitere kürzlich behobene Schwachstelle: Im Oktober 2026 hatte The Document Foundation das Problem CVE-2026-63277 in den Versionen 26.2.5 und 26.8.0 behoben.
Dieser Fehler ermöglichte über eine externe Datenbankdatei mit nachgeladenen Java- beziehungsweise JDBC-Treibern das automatische Ausführen von Makros beim Öffnen von Tabellendokumenten, sofern die Java-Unterstützung aktiv war.
Auch in diesem Fall handelte es sich lediglich um einen Proof of Concept ohne bekannte Ausnutzung in freier Wildbahn. Eine verwandte Schwachstelle, CVE-2026-59265, betrifft die alternative Software Apache OpenOffice in den Versionen 4.1.16 und älter; eine Behebung wird dort mit Version 4.1.17 erwartet.
Der Umstieg auf kostenlose Büro-Software bietet enorme Sparpotenziale, erfordert jedoch eine solide Wissensbasis für den sicheren Betrieb. Erfahren Sie im kostenlosen Startpaket, wie Sie alle wichtigen Funktionen nutzen und dabei teure Lizenzgebühren dauerhaft vermeiden. Gratis LibreOffice Startpaket jetzt herunterladen
Das Umfeld im Bürosoftwaremarkt
Die Aktualisierungen erfolgen vor dem Hintergrund einer veränderten Marktlage: Microsoft beendete am 13. Oktober 2026 die offizielle Unterstützung für Office LTSC 2021. LibreOffice bleibt für den kommerziellen Einsatz ohne Lizenzgebühren nutzbar, verzichtet jedoch von Haus aus auf integrierten Cloud-Speicher und native KI-Komponenten.
The Document Foundation begründete in einem Blogbeitrag den Verzicht auf KI-Funktionen in der Standardinstallation damit, dass derzeitige Ansätze die strikten Vorgaben an Privatsphäre, Nutzerkontrolle und offene Standards noch nicht erfüllten.
Andere Alternativen wie WPS Office setzen hingegen auf ein anderes Modell: Die Standardversion ist ausschließlich für die persönliche, nichtkommerzielle Nutzung kostenfrei und bindet PDF-Bearbeitungs- sowie KI-Funktionen an kostenpflichtige Lizenzen.
Finanziell stützte sich The Document Foundation im Geschäftsjahr 2025 zu über 90 Prozent auf Spenden, die einen Gesamterlös von rund 2,2 Millionen Euro ausmachten.
