LibreOffice の公式の勧告によると、26.2.5 で修正された7件の脆弱性のうち5件は、Anthropic がオープンソースの安全性を調べる取り組みの中で Claude のエージェントを使って見つけ、Ada Logics が確認して報告したものとされている。
- LibreOffice の公式の脆弱性の勧告によると、26.2.5 で直った7件のうち5件（CVE-2026-63272 から 63276）は、Anthropic がオープンソースの安全性を調べる取り組みの中でエージェントを使って見つけ、Ada Logics が確認して報告したものとされている。公表はいずれも2026年9月21日
- その5件は、WMF の文字の記録の取り込み、PDF の暗号化の扱い、PDF のストリームの扱い、CFF フォントのヒントの読み取り、CFF から Type 1 への変換で、いずれも文書に埋め込める形式を読むときに確保した領域の外へ書き込んでしまうもの。ファイルの中の個数や長さの値を、実際の中身と突き合わせずに使っていた点が共通している
- 残る2件は出どころが別で、URL の組み立てを通じて環境変数や INI ファイルの値を外部に送り出せたもの（Tanto Security の Darren Xuan が報告）と、PICT 画像の色パレットの読み取りで範囲外を読むもの（Himanshu Anand が報告）。修正はいずれも Collabora Productivity の Caolán McNamara が提供したとされている
- Anthropic 由来の指摘は今回が初めてではない。26.2.4 で直った3件（PPT の色の置き換えの記録、Calc の数式の組み立て、表計算の変更履歴の取り込み）も、Claude を使った自動の解析で見つかったものとされ、確認は Ada Logics と Trail of Bits が行っている
- 26.2.3／25.8.7 で直ったもののうち、ODF の数値書式の解析、DXF のポリラインの取り込み、EMF+ のグラデーションの取り込み、OOXML のテキストボックスの取り込みの4件も同じ出どころで、検証は Trail of Bits が行ったとされている。勧告はいずれも、該当の版以上に更新するよう勧めている
確かめた一次資料
この記事は、上の一次資料の原文を読んで書いています。数字は原文のとおりで、計算した値はそう書いています。