OpenOffice 4.1.17 が、2026 年 10 月 14 日に公開されました。今月初めに公表された緊急の脆弱性 CVE-2026-59265 を直した版です。前回の記事を書いた時点では「修正版は準備中」で、回避策として Java 連携を切っておく、というところまでしか言えませんでした。
修正版が出たので、今回はその続きです。自分の OpenOffice の版を確かめて、4.1.16 以前なら更新する。やることはこの 2 つで、急ぐ理由は「文書を開くだけで危ない」という中身にあります。前回オフにした Java 連携をどうするかも、あわせて書いておきます。
先に結論：Apache OpenOffice 4.1.16 以前のすべての版が CVE-2026-59265 の影響を受け、4.1.17 で修正されました。ヘルプのバージョン情報で版を確かめ、4.1.17 より古ければ公式サイト（openoffice.org）から入手して更新してください。
Java 連携の無効化は「4.1.17 を入れるまでの回避策」として案内されていたものです。更新後は、Java を使う機能が要るなら戻してかまいません。
OpenOffice 4.1.17 で直った脆弱性 CVE-2026-59265 とは
まず、今回の脆弱性の要点を表にまとめます。内容は Apache OpenOffice のセキュリティ情報と、窓の杜の報道によるものです。
| 項目 | 内容 |
|---|---|
| 識別番号 | CVE-2026-59265 |
| 深刻度 | 緊急（Critical） |
| 影響を受ける版 | 4.1.16 以前のすべての版（旧 OpenOffice.org も影響のおそれ） |
| 修正版 | 4.1.17（2026 年 10 月 14 日公開） |
| 原因の場所 | Java との連携部分 |
| 起こりうること | 細工された文書を開くと、コードが実行されるおそれ |
OpenOffice の Java 連携にコード実行の欠陥があり、細工された文書を開くとコードが実行されうる。影響は 4.1.16 以前のすべての版で、4.1.17 で修正される。それまでの回避策は、Java 実行環境の利用を無効にすること。無効にできない場合は、信頼できないファイルを開かないこと。
出典：Apache OpenOffice「CVE-2026-59265」
セキュリティ情報の題は「悪意のある文書を開くと、システムを乗っ取られるおそれ」です。マクロを有効にするかどうか聞かれる、といった段階を待たずに、開いた時点で危ないという点が、この脆弱性を「緊急」にしている理由です。メールの添付やダウンロードしたファイルを、ダブルクリックで開く。普段どおりの操作がそのまま入口になります。
用語：Java 連携とは、OpenOffice が別のソフトである Java（Java 実行環境）を呼び出して、一部の機能を動かす仕組みのことです。データベースの Base や一部のウィザードなどが Java を使います。今回の欠陥はこの呼び出しの部分にあったため、Java の利用を止めることが回避策になっていました。
同じ問題は兄弟プロジェクトの LibreOffice でも見つかっていて、こちらは別の番号が付いています。LibreOffice を使っている人の確認は、最後の章で書きます。
自分の版を確かめて OpenOffice 4.1.17 に更新する手順
OpenOffice には、Microsoft Office のように裏で勝手に新しい版へ入れ替わる仕組みがありません。入れたときの版のまま何年も使っている、ということがよくあります。まずは今の版を確かめてください。
バージョンはヘルプのメニューで確かめる
Windows では OpenOffice を起動し、上のメニューの「ヘルプ」から「OpenOffice について」を開きます。Mac では、画面左上の「OpenOffice」メニューの中にあります。表示された版が 4.1.16 以前なら更新が必要です。公式のリリースノートによると、4.1.17 を正しく入れられていれば、この画面に「AOO4117m2 | Build ID 9818」と出ます。
更新前に、作りかけの文書を保存しておく
文書のファイルは「ドキュメント」フォルダーなどに保存されていて、ソフト本体とは別の場所にあります。更新で消えるものではありませんが、作業中の文書は保存して OpenOffice を閉じ、大事なファイルは外付けドライブやクラウドにも控えを取ってから進めてください。
ここ、見落としがちです：「OpenOffice ダウンロード」で検索すると、公式ではない配布サイトや広告が上に出ることがあります。公式のリリースノートも、入手は公式サイトからだけにするよう案内しています。アドレスが openoffice.org であることを確かめてから入手してください。
更新の流れは次のとおりです。
- 作業中の文書をすべて保存し、OpenOffice を終了する。
- 公式サイト（openoffice.org）のダウンロードのページを開き、使っている OS と言語（日本語）を選んで 4.1.17 を入手する。
- 入手したインストーラーを実行し、画面の案内に沿って進める。
- OpenOffice を起動し、ヘルプのバージョン情報で 4.1.17 になっていることを確かめる。
窓の杜の記事によると、Windows 10・11 向けには Microsoft Store 版も、一部の言語で近日中に用意される予定とのことです。今の時点で確実なのは公式サイトからの入手です。
前回 Java 連携をオフにした人は、戻していい？
前回の記事では、修正版が出るまでの回避策として、Java 連携を切る方法を紹介しました。セキュリティ情報でも、この無効化は「4.1.17 を入れるまで」の手当てとして案内されています。4.1.17 に更新したあとなら、戻してかまいません。
戻すかどうかは、Java を使う機能を使っているかで決めてください。Base でデータベースを作っている、ウィザードが動かなくなって困った、という人は戻す。ワープロと表計算しか使っていないなら、オフのままでも困ることはありません。
設定の場所は、オフにしたときと同じです。Windows は「ツール」→「オプション」→「OpenOffice」→「Java」、Mac は「OpenOffice」→「環境設定」→「OpenOffice」→「Java」。セキュリティ情報の英語版では「Use a Java runtime environment」と書かれている、Java 実行環境を使うかどうかのチェックを入れ直せば元に戻ります。
メモ：公式のリリースノートでは、OpenOffice と組み合わせる Java は 32 ビット版の Java 8 が推奨とされ、64 ビットのパソコンでも 32 ビット版の Java 実行環境が要ると書かれています。チェックを入れ直しても Java が見つからないと出る場合は、ここを確かめてください。
順番だけは逆にしないでください。先に Java 連携を戻して、更新はあとで、とすると、そのあいだは回避策も修正も無い状態になります。
4.1.17 で変わったことと、LibreOffice を使っている人の確認
4.1.17 は約 11 か月ぶりの更新で、脆弱性の修正のほかにも手が入っています。公式のリリースノートに書かれている主な変更は次のとおりです。
- Python のマクロを、文書の中で直接作る・編集する・動かす・埋め込むことができるようになった
- 保存のときにファイルの書き込みと置き換えを一度に行うようになり、保存中の電源断などでファイルが壊れる危険が下がった
- Excel の XML 形式（SpreadsheetML）との互換性がよくなった
- CAD の DXF ファイルを読み込んだときの描画がよくなった
- データベースまわりの対応が改善された
4.1.17 はセキュリティと不具合修正のための版で、4.1.16 以前を使っているすべての利用者に更新をすすめる。入手は公式サイトから行い、ヘルプのバージョン情報で版を確かめること。
出典：Apache OpenOffice Wiki「AOO 4.1.17 Release Notes」
保存が壊れにくくなった点は、地味ですがありがたい変更だと私は思っています。とはいえ、これは「壊れにくくなった」であって「壊れない」ではありません。大事な文書の控えを別の場所に取っておく習慣は、そのまま続けてください。
LibreOffice は 26.2.5 か 26.8.0 以降かを確かめる
無料の Office ソフトとしては、OpenOffice から分かれた LibreOffice を使っている人も多いと思います。窓の杜の報道によると、同じ問題は LibreOffice では CVE-2026-63277 として報告され、26.2.5 と 26.8.0 で修正済みです。LibreOffice の人は、ヘルプのバージョン情報で 26.2.5 以降（26.8 系なら 26.8.0 以降）になっているかを確かめてください。
パソコンにどちらが入っているか分からない場合は、スタートメニューやアプリの一覧で「OpenOffice」と「LibreOffice」を探してみてください。両方入っていることもあります。使っていないほうは、消してしまえば確かめる手間ごと無くなります。
よくある質問
4.1.17 に更新すれば、Java 連携をオンに戻しても大丈夫ですか？
大丈夫です。公式のセキュリティ情報では、Java 連携の無効化は 4.1.17 を入れるまでの回避策として案内されていました。Base など Java を使う機能が必要なら戻し、使っていなければオフのままでも困りません。戻すのは、バージョン情報で 4.1.17 になったことを確かめてからにしてください。
OpenOffice を更新すると、作った文書が消えたりしませんか？
文書はソフト本体とは別の場所に保存されているので、更新で消えるものではありません。ただし念のため、作業中の文書は保存して OpenOffice を閉じ、大事なファイルは外付けドライブやクラウドに控えを取ってから更新してください。
LibreOffice を使っています。関係ありますか？
関係があります。同じ問題が LibreOffice では CVE-2026-63277 として報告され、26.2.5 と 26.8.0 で修正済みと報じられています。ヘルプのバージョン情報で、それ以降の版になっているか確かめてください。
まとめ
Apache OpenOffice 4.1.17 は、細工された文書を開くだけでコードが実行されるおそれのある緊急の脆弱性 CVE-2026-59265 を直した版です。4.1.16 以前を使っている人は、ヘルプのバージョン情報で版を確かめ、公式サイトから 4.1.17 を入手して更新してください。
前回 Java 連携を切った人は、更新を確かめてから、必要なら戻せば足ります。LibreOffice の人は 26.2.5 か 26.8.0 以降かを見てください。自分のパソコンに何が入っているか分からない、更新したのに版が変わらないという場合は、ご来店か出張で一緒に確かめることもできます。
