Faille LibreOffice CVE-2026-76181 : faut-il mettre à jour ?

La faille LibreOffice CVE-2026-76181 concerne le traitement des fichiers d’index utilisés par les bases de données dBASE. The Document Foundation a publié son avis de sécurité le 5 novembre 2026. Elle recommande à tous les utilisateurs d’installer une version corrigée.

Cette vulnérabilité ne touche donc pas directement les documents Writer, Calc ou Impress classiques. Toutefois, elle se trouve dans LibreOffice lui-même. Une mise à jour reste ainsi recommandée, même si vous n’utilisez jamais volontairement le module Base.

Les versions LibreOffice 26.2.6 et 26.8.1 corrigent déjà le problème. Cependant, des versions plus récentes sont disponibles. LibreOffice 26.2.7 représente désormais la dernière version de la branche 26.2. LibreOffice 26.8.2 constitue, pour sa part, la version principale proposée au téléchargement. enterprise.libreoffice.org

Que désigne la faille LibreOffice CVE-2026-76181 ?

LibreOffice inclut un pilote capable de lire des bases de données au format dBASE. Ce format ancien reste présent dans certaines entreprises, administrations et applications professionnelles.

Une base dBASE utilise généralement des fichiers .dbf pour stocker les données. Elle peut également contenir des fichiers .ndx. Ces derniers servent à indexer les informations afin d’accélérer les recherches et les tris.

La vulnérabilité CVE-2026-76181 se situe dans la lecture de ces index NDX. LibreOffice ne vérifiait pas correctement certaines informations enregistrées dans une page d’index.

Un fichier malformé pouvait notamment annoncer plus d’entrées que la page ne pouvait réellement en contenir. Le programme risquait alors de lire ou de traiter des données au-delà de la zone mémoire prévue.

Le problème pouvait aussi créer une boucle. En effet, une page d’index pouvait renvoyer vers elle-même ou vers une page déjà parcourue. LibreOffice continuait alors la lecture de manière récursive.

The Document Foundation décrit ce défaut comme un dépassement de tampon dans le tas, ou « heap buffer overflow ». L’organisme mentionne également le risque de récursion sans fin lors de la lecture d’un index spécialement conçu. enterprise.libreoffice.org

Quels risques présente cette vulnérabilité LibreOffice ?

Un dépassement de tampon signifie qu’un logiciel traite davantage de données que l’espace mémoire réservé ne peut en contenir. Ce comportement peut provoquer une fermeture brutale, un blocage ou un fonctionnement imprévisible.

La récursion sans fin peut, elle aussi, rendre LibreOffice inutilisable. Le programme peut consommer ses ressources jusqu’au plantage.

Cependant, l’avis officiel reste précis et mesuré. The Document Foundation ne présente pas cette vulnérabilité comme une attaque confirmée permettant systématiquement d’exécuter du code à distance.

Il serait donc excessif d’annoncer une prise de contrôle automatique de l’ordinateur. Aucune information officielle fournie avec l’avis ne justifie une telle affirmation.

Le risque reste néanmoins sérieux, car un fichier d’index spécialement préparé peut perturber le fonctionnement du logiciel. De plus, un utilisateur ne connaît pas toujours la composition exacte d’une base reçue par courriel ou téléchargée depuis Internet.

Une archive professionnelle peut, par exemple, contenir plusieurs fichiers DBF et NDX. L’utilisateur peut alors ouvrir la source de données sans inspecter chaque composant.

La prudence impose donc une mise à jour rapide. Elle évite aussi de devoir déterminer si chaque ancien fichier dBASE présente un danger.

Quelles versions de LibreOffice corrigent la faille ?

The Document Foundation indique que LibreOffice 26.2.6 et 26.8.1 corrigent CVE-2026-76181. Toutes les versions ultérieures intègrent également cette correction.

Voici la situation au moment de la publication de cet article :

Branche LibreOffice	Première version corrigée	Version plus récente disponible	Recommandation
LibreOffice 26.2	26.2.6	26.2.7	Installer 26.2.7, puis préparer la migration
LibreOffice 26.8	26.8.1	26.8.2	Installer 26.8.2
Version antérieure	Non garantie	—	Migrer vers une branche maintenue

La page officielle des notes de version présente LibreOffice 26.8.2 comme la version récente de la branche principale. Elle présente LibreOffice 26.2.7 comme la dernière mise à jour corrective de la branche précédente. LibreOffice

Par conséquent, vous ne devez pas vous limiter au numéro minimal indiqué dans l’avis de sécurité. Vous pouvez directement installer la version corrective la plus récente de votre branche.

Ainsi, un utilisateur de LibreOffice 26.8.0 devrait passer à LibreOffice 26.8.2. Un utilisateur de LibreOffice 26.2.5 devrait installer LibreOffice 26.2.7.

Qui doit installer cette mise à jour de sécurité ?

La faille concerne en priorité les personnes qui utilisent LibreOffice Base avec des fichiers dBASE. Elle intéresse aussi les organisations qui conservent de vieilles bases professionnelles.

Plusieurs publics doivent donc agir rapidement :

• les utilisateurs de LibreOffice Base ;
• les entreprises qui exploitent des fichiers DBF ou NDX ;
• les services publics qui consultent d’anciennes bases de données ;
• les utilisateurs qui reçoivent des archives de données externes ;
• les administrateurs qui déploient LibreOffice sur plusieurs postes ;
• les personnes qui utilisent une version antérieure à 26.2.6 ou 26.8.1.

Vous pouvez penser que cette correction ne vous concerne pas si vous utilisez seulement Writer ou Calc. Toutefois, LibreOffice installe plusieurs composants dans une même suite.

La mise à jour corrige le moteur concerné, mais elle apporte aussi d’autres améliorations de stabilité. Elle réduit donc le risque global sans modifier votre manière de travailler.

De plus, la mise à niveau conserve normalement les documents, modèles et réglages personnels. Comme toujours, une sauvegarde reste néanmoins conseillée avant une intervention sur un parc important.

Pourquoi installer LibreOffice 26.8.2 plutôt que 26.8.1 ?

LibreOffice 26.8.1 constitue la première version de cette branche qui corrige la vulnérabilité. Pourtant, LibreOffice 26.8.2 est déjà disponible sur le site officiel.

La version 26.8.2 apporte environ 35 autres corrections. Elle améliore notamment la stabilité, la lecture des contenus multimédias et la compatibilité avec certains anciens fichiers Microsoft Office.

Elle corrige également plusieurs plantages et blocages. Par conséquent, elle offre un meilleur point de départ pour une nouvelle installation.

La page officielle de téléchargement propose directement LibreOffice 26.8.2 pour Windows, macOS et Linux. Elle fournit aussi des versions adaptées aux processeurs Intel, Apple Silicon, x86-64 et ARM64. libreoffice.org

Vous avez donc peu d’intérêt à chercher spécifiquement l’ancienne version 26.8.1. Installez plutôt la version actuellement proposée, sauf contrainte technique particulière.

Les entreprises doivent toutefois tester leurs fichiers essentiels, leurs extensions et leurs macros. Un déploiement progressif réduit les risques de régression.

Pourquoi LibreOffice 26.2.7 reste une solution temporaire ?

LibreOffice 26.2.7 corrige la faille CVE-2026-76181, car elle reprend les corrections introduites dans LibreOffice 26.2.6. Cette version convient donc aux organisations qui souhaitent rester provisoirement sur la branche 26.2.

Toutefois, cette branche atteint la fin de son cycle de vie le 30 novembre 2026. The Document Foundation ne prévoit plus de nouvelle version 26.2 après LibreOffice 26.2.7.

La version 26.2.7 peut ainsi servir de transition. Elle permet de sécuriser immédiatement les postes tout en préparant une migration contrôlée vers LibreOffice 26.8.

Les entreprises ne doivent pas attendre la fin du support pour commencer leurs tests. Elles peuvent vérifier dès maintenant :

• l’ouverture et l’enregistrement des fichiers ODT, DOCX, XLSX et PPTX ;
• le fonctionnement des macros et extensions ;
• l’impression et l’exportation en PDF ;
• la connexion aux bases de données ;
• le déploiement automatique sur les postes utilisateurs ;
• la compatibilité avec les modèles internes.

Cette démarche limite les interruptions. Elle donne aussi aux équipes le temps de traiter les éventuelles incompatibilités.

Comment vérifier votre version de LibreOffice ?

Vous pouvez contrôler votre version depuis LibreOffice. Ouvrez le menu Aide, puis sélectionnez À propos de LibreOffice.

La fenêtre affiche le numéro complet de la version installée. Comparez-le ensuite aux versions minimales corrigées :

• LibreOffice 26.2.6 ou version ultérieure ;
• LibreOffice 26.8.1 ou version ultérieure.

Si votre numéro est inférieur, installez une mise à jour. Dans la mesure du possible, choisissez LibreOffice 26.8.2 ou une version ultérieure proposée officiellement.

Téléchargez toujours LibreOffice depuis le site officiel du projet. Vous éviterez ainsi les installateurs modifiés, les logiciels publicitaires et les versions obsolètes proposées par certains sites tiers.

Sous Linux, votre distribution peut fournir LibreOffice par son gestionnaire de paquets. Vérifiez alors le numéro exact livré par le dépôt. Certaines distributions maintiennent aussi leurs propres correctifs de sécurité.

Comment mettre à jour LibreOffice sans perdre ses documents ?

La mise à jour de LibreOffice ne supprime normalement pas vos documents. Ceux-ci restent enregistrés dans vos dossiers habituels.

Toutefois, une préparation simple apporte davantage de sécurité. Sauvegardez vos documents importants ainsi que vos modèles personnalisés. Fermez ensuite toutes les applications LibreOffice.

Téléchargez l’installateur adapté à votre système. Vérifiez aussi l’architecture du processeur, notamment sur Windows ARM64 et sur les Mac Apple Silicon.

Lancez ensuite l’installation. Le programme remplace généralement la version existante tout en conservant le profil utilisateur.

Après la mise à jour, ouvrez plusieurs fichiers représentatifs. Testez surtout les documents complexes, les macros, les bases de données et les présentations contenant du son.

Les organisations doivent procéder par groupes. Elles peuvent d’abord mettre à jour quelques postes pilotes. Elles peuvent ensuite étendre le déploiement après validation.

Cette méthode demande un peu plus de temps. Cependant, elle évite qu’une incompatibilité inattendue touche tous les utilisateurs en même temps.

Cette faille concerne-t-elle seulement LibreOffice Base ?

Le composant vulnérable sert à lire les bases dBASE. Le risque se concentre donc sur cet usage.

Toutefois, un utilisateur ne maîtrise pas toujours la structure d’un ensemble de fichiers reçu. Il peut aussi ouvrir une source de données intégrée à un processus métier sans connaître son format.

Par conséquent, tous les utilisateurs doivent suivre la recommandation officielle de mise à jour. Une suite bureautique à jour protège mieux l’ensemble du poste.

Cette correction rappelle également une règle essentielle : un document bureautique peut contenir plus que du texte ou des chiffres. Il peut intégrer des liens, des médias, des scripts ou des connexions vers des données externes.

Vous devez donc traiter les fichiers inconnus avec prudence. La mise à jour réduit le risque, mais elle ne remplace pas les bonnes pratiques.

Bonnes pratiques après la correction CVE-2026-76181

La mise à jour constitue la première mesure à prendre. Toutefois, quelques habitudes renforcent la sécurité :

• refusez les bases de données provenant d’une source inconnue ;
• analysez les archives reçues par courriel ;
• conservez une sauvegarde séparée des données importantes ;
• désactivez les fonctions inutiles sur les postes sensibles ;
• testez les nouvelles versions avant un déploiement général ;
• retirez progressivement les anciennes versions de LibreOffice.

Les administrateurs peuvent aussi inventorier les versions installées. Ils identifient ainsi rapidement les postes qui n’ont pas reçu le correctif.

Enfin, les entreprises doivent planifier le passage vers LibreOffice 26.8. La branche 26.2 arrive en fin de support, si bien qu’elle ne constitue plus une solution durable.

FAQ sur la faille LibreOffice CVE-2026-76181

Un antivirus suffit-il à bloquer cette vulnérabilité ?

Non. Un antivirus peut détecter certains fichiers malveillants, mais il ne remplace pas la correction du logiciel. Installez donc une version corrigée de LibreOffice.

Puis-je continuer à utiliser mes anciennes bases dBASE ?

Oui, si vous connaissez leur origine et si vous utilisez une version corrigée. Conservez néanmoins une sauvegarde avant d’ouvrir ou de modifier des données anciennes.

Où télécharger la version corrigée de LibreOffice ?

Utilisez la page officielle de téléchargement de LibreOffice. Elle propose actuellement LibreOffice 26.8.2 pour Windows, macOS et Linux.

Quelle version choisir pour une entreprise ?

LibreOffice 26.2.7 peut servir de solution transitoire. Toutefois, la branche 26.2 arrive en fin de support. Une entreprise doit donc tester puis déployer LibreOffice 26.8 sur son parc.

La faille CVE-2026-76181 permet-elle une prise de contrôle du PC ?

L’avis officiel décrit un dépassement de tampon lors de l’importation d’un index dBASE. Il ne confirme pas une prise de contrôle systématique. Il faut donc éviter d’exagérer le risque, tout en installant rapidement le correctif.

Source officielle : Security Advisories — LibreOffice