※購入先、ダウンロードへのリンクにはアフィリエイトタグが含まれており、それらの購入や会員の成約、ダウンロードなどからの収益化を行う場合があります。

LibreOfficeの危険性は本当？脆弱性と安全な使い方をチェック

雑学

「LibreOfficeは無料だから危ないのでは？」
導入を検討しているときや、社内でOffice移行の話が出たときに、こうした不安が一気に膨らむことがあります。実際、LibreOfficeにも脆弱性の報告はあり、ニュースで見かけると余計に心配になるでしょう。

しかし、危険性の多くは「LibreOfficeそのものが危険」というより、入手経路が曖昧なまま導入することや、更新を後回しにして古い版を使い続けること、そして外部から届くファイルをどう扱うかといった“運用の穴”から生まれます。つまり、ポイントさえ押さえれば、リスクは十分に下げられます。

本記事では、LibreOfficeの危険性を「入手経路・脆弱性・マクロ・外部ファイル受領」の4つに分け、公式のセキュリティ勧告を使った確認手順と、個人でも社内でも回せるチェックリストと運用ルールに落として解説します。読み終えたときに「何をすれば安全側に寄せられるか」がはっきりし、導入の判断や社内説明ができる状態を目指します。

※本コンテンツは「記事制作ポリシー」に基づき、正確かつ信頼性の高い情報提供を心がけております。万が一、内容に誤りや誤解を招く表現がございましたら、お手数ですが「お問い合わせ」よりご一報ください。速やかに確認・修正いたします。

目次

LibreOfficeの危険性で不安になるポイント

LibreOfficeは使い方次第で安全側に寄せられます。危険性は入手経路・脆弱性・マクロ・外部受領に集中し、公式Security Advisoriesで影響版と修正版を確認して更新すればリスクは低下します。
まず公式入手と定期更新を徹底しましょう。

無料ソフトは危ないと感じやすい理由

LibreOfficeは無料で利用でき、Microsoft Officeファイル（docx/xlsx/pptx等）とも一定の互換性があるため、個人利用から企業利用まで導入候補に挙がりやすいオフィススイートです。一方で「無料＝危険」「情報が抜かれるのでは」「ウイルスが入っていそう」といった不安が出やすいのも事実です。

ただし、LibreOfficeの危険性の大半は、ソフトそのものが悪意を持つという話ではなく、次のような“入口”で増幅します。

  • 公式ではない配布サイトから入れてしまう（入手経路の問題）

  • 更新を後回しにして古い版を使い続ける（脆弱性の放置）

  • 外部から受け取った文書のマクロやリンクを許可してしまう（運用の問題）

  • 取引先のファイルを開かざるを得ない（業務フローの問題）

つまり、危険性は「使ってはいけない」か「大丈夫」かの二択ではなく、どのリスクをどう抑えるかという設計問題です。この記事では、情シス兼務担当でも社内展開しやすいよう、判断軸と手順を“作業に落ちる形”で整理いたします。

危険性は主に4つに分けて考える

「LibreOffice 危険性」という検索の背景には、だいたい次の4種類の不安が混ざっています。混ざったままだと対策がぼやけるため、まず切り分けます。

  • 入手経路リスク：偽サイトや非公式配布物により、改ざん・混入の可能性が生まれる

  • 脆弱性リスク：既知の不具合（CVE）を修正していない版を使い続け、攻撃や事故の余地が残る

  • マクロ・スクリプト運用リスク：文書に含まれる処理やリンク経由の挙動が、利用者の許可や操作で悪用され得る

  • 外部ファイル受領リスク：業務上、外部から届く文書を開く入口が常にあり、ルールが曖昧だと事故が起きやすい

LibreOfficeでは公式にSecurity Advisoriesが公開され、CVEと修正版（Fixed in）が継続的に提示されています。よって、危険性をゼロにするというより、上記4領域を「安全側に寄せる」ことが現実解になります。

LibreOffice自体は危険なのかを判断する基準

公式配布と非公式配布でリスクが変わる

最初に押さえるべき結論は明確です。危険性の差が最も大きいのは「どこから入れたか」です。
公式サイトから入手したものと、検索で偶然見つけた配布ページから入手したものでは、同じLibreOfficeでもリスクが別物になります。

企業・組織でよく起きる失敗は、各社員が個別に検索して“それっぽいサイト”からダウンロードしてしまうことです。これを防ぐだけで、事故確率は大きく下がります。

社内向けの最小ルールは次の通りです。

  • インストーラー入手は担当者（情シス等）に一本化する

  • 社員は検索してダウンロードしない（周知・手順書化）

  • 可能なら配布場所（社内ポータルや管理配布）を固定する

ここで重要なのは、技術力よりも運用の一貫性です。「迷ったらここ」と言える導線を作るほど、現場は安全になります。

Security Advisoriesで脆弱性と修正版を確認する

「危険かどうか」を判断する最短ルートは、憶測や評判ではなく、公式情報で“自分の版が影響を受けるか”を確認することです。LibreOffice公式のSecurity Advisoriesでは、CVEごとに概要と修正済みバージョンが示されます。

ポイントは、「脆弱性があった」こと自体ではありません。次の2点です。

  • いま使っているバージョンが影響範囲に入っているか

  • 修正済みのバージョンに上げられているか

この2点が確認できれば、「危険性」はかなり具体的に扱えるようになります。

版確認→照合→優先度決定の手順

以下は、個人でも社内でも通用する最小の確認手順です。

  1. LibreOfficeの現在バージョンを確認する

    • アプリ内の「バージョン情報」から、メジャー・マイナー（例：24.8.6など）まで控えます

  2. 公式Security Advisoriesを開く

    • 直近のCVEと、Fixed in（修正済みバージョン）を確認します

  3. 自分の版が影響範囲に入るか確認する

    • “from X before < Y” の表記がある場合、範囲内なら影響の可能性があります

  4. 優先度を決める（即時／定期／状況次第）

    • 外部ファイル受領頻度が高い、マクロ利用がある、PDF署名確認をする等は優先度が上がります

  5. 更新後のバージョンを記録し、周知する

    • “更新したのに古い版が残っていた”を防ぐため、記録と周知が重要です

ニュース情報は更新の背中を押す材料にする

国内の準一次情報（ITニュースやセキュリティ媒体）は、忙しい担当者にとって「更新のトリガー」として役立ちます。たとえば窓の杜では、PDF署名検証の不備が特定バージョン範囲で発生し、修正版への更新が推奨される、といった要点がまとまります。

また、深刻度（CVSS）などの情報が整理されるケースもあります。
ただし、ニュースは要約である以上、最終的な照合は必ず公式Security AdvisoriesまたはNVDに戻すと安全です。

LibreOfficeの脆弱性リスクとアップデートの考え方

脆弱性はゼロにならない前提で運用する

オフィスソフトは、文書・画像・フォント・リンク・拡張機能・スクリプトなど多様な要素を扱うため、脆弱性が全く出ない状態を期待するのは現実的ではありません。重要なのは、脆弱性が出たときに「修正され」「利用者が更新できる」ことです。

LibreOfficeではSecurity Advisoriesが継続的に公開され、修正済みバージョンが示されます。
さらにNVDではCVEの詳細（影響、説明、更新履歴）が追跡できます。

更新が必要なパターンと優先度

更新の優先度を決めるときは、社内で揉めやすいポイント（「急ぐのか、定期でよいのか」）を、基準で固定すると運用が回ります。おすすめの優先度基準は次の通りです。

  • 即時（できれば数日以内）

    • 外部から届く文書を頻繁に開く部門がある

    • “開くだけで成立し得る”タイプの説明がある

    • 深刻度が高い、または機密情報の流出に関係し得る

    • 既に修正版が出ており、更新の障壁が低い

  • 定期（次回の月次更新で対応）

    • 深刻度が低い

    • 影響機能を社内でほとんど使っていない（例：PDF署名確認を行わない）

    • 対象範囲が限定的で、代替運用（閲覧・変換）が可能

  • 状況次第（要調査）

    • 特定OS限定、特定構成でのみ成立する

    • 社内で該当機能の利用有無が不明（棚卸しが必要）

例として、PDF署名の検証不備は低い深刻度として扱われるケースがありますが、PDF署名確認を業務で使っている企業では“安心材料として早めに更新”が望ましい場合もあります。
また、環境変数やINI値の流出に関係するタイプは、機密情報を扱う端末ほど影響評価を丁寧にしたくなります。

FreshとStillの選び方

LibreOfficeには、機能更新が先行しやすい系統と、安定性重視で運用されやすい系統があり、組織では「更新頻度と検証工数」のバランスが課題になります。結論としては、次の方針が運用しやすいです。

  • 個人利用：更新通知が来たら早めに追随できるなら、新しい系統でも問題になりにくい

  • 企業利用：検証→展開のワークフローがあるため、安定性を優先しつつ、Security Advisoriesを定期点検して遅れを作らない

いずれにせよ、最も危険性を上げるのは「更新されているのに、現場が古い版を使い続ける」状態です。更新を“作業”として回す仕組み（担当、頻度、記録）が最重要です。

社内の更新運用テンプレ（最小構成）

  • 月次：Security Advisoriesを点検し、影響があるCVEを抽出

  • 影響評価：対象部門（外部受領が多い部門、PDF署名利用、マクロ利用）を優先して評価

  • 検証：代表端末で更新後の互換性を確認（テンプレ・印刷・PDF出力・外部ファイル）

  • 展開：配布方法を固定し、更新完了日とバージョンを記録

  • 周知：更新内容（何が改善されるか）を1枚で共有し、不安や混乱を減らす

マクロとスクリプトを悪用したリスクを減らす

マクロは業務要件とセットで扱う

マクロやスクリプトは利便性が高い反面、外部から受け取った文書で不用意に許可すると危険性が上がります。
LibreOfficeではマクロ署名やセキュリティモードに関する論点が公式・報道で触れられることもあり、運用設計が重要です。

ここで大切なのは、次の二択にしないことです。

  • 全部無効（便利さが死に、現場が抜け道を探す）

  • 全部許可（事故の入口が開きっぱなし）

おすすめは、原則／例外／申請の3層に分けることです。

  • 原則：外部から受け取ったファイルのマクロは許可しない

  • 例外：社内で管理しているテンプレート・定型文書のみ許可する

  • 申請：例外を増やす場合は、用途・配布元・保管場所・担当者・期限を申請項目にする

この型にすると、情シス兼務でも運用が破綻しにくくなります。

推奨の設定方針と例外運用

設定名は環境で差がありますが、方針としては次が安全側です。

  • マクロは“警告表示または無効化”を基本にする

  • 署名付きマクロや例外を使う場合でも、利用者が安易に「無視して実行」できないように、運用側で手順化する

  • 例外は「社内テンプレの保管場所」を固定し、そこ以外は原則実行しない

さらに、リンクやURIスキーム等が絡む問題が公表されることもあり、更新と合わせて運用を固めると効果的です。

例外運用の申請項目（そのまま使えるテンプレ）

  • 目的（何の業務で必要か）

  • 影響範囲（利用者数、部署）

  • 配布元（誰が作り、誰が更新するか）

  • 保管場所（共有フォルダ／文書管理など固定）

  • 有効期限（いつ見直すか）

  • 代替策（マクロなしで回せないか）

このテンプレがあるだけで、「例外が雪だるま式に増える」事故を防げます。

外部から届くファイルの扱いルール

業務上、取引先からの見積書、請求書、仕様書は開かざるを得ません。したがって「怪しいファイルを開かない」だけでは解決しません。現実的な設計は、入口を二段階にすることです。

  • 一次対応：開く前に確認し、閲覧・変換で内容確認する

  • 編集対応：必要な場合のみ隔離して開き、マクロ等は原則許可しない

特に情報流出に関係し得るタイプのCVEが公表されている場合は、「外部文書を開く」という行為そのものが評価対象になります。

安全に使うための手順とチェックリスト

危険性と対策の比較表

リスク種別 起きやすい場面 具体的な危険 主な対策 優先度
入手経路リスク 検索で見つけた配布サイトから入手 改ざん・混入の可能性 公式入手に一本化、社内は配布経路固定 高
脆弱性リスク 古い版を放置 既知の弱点が残る 版確認→公式Advisories照合→更新 高
マクロ運用リスク 外部文書の処理を許可 意図しない実行や誘導 原則禁止、例外は申請制で限定 中〜高
外部受領リスク 取引先文書を頻繁に開く 入口が多く事故が起きる 一次対応（閲覧・変換）を標準化 中

この表は「優先度」を軸にしています。社内で説明する際は、優先度が高い2行（入手経路・脆弱性）だけでも先に固めると、効果が出やすいです。

安全な入手とインストール手順

手順

  1. 入手元を公式サイトに固定する（ブックマークして使い回す）

  2. 社内の場合、インストーラー配布は担当者が一本化する

  3. インストール後、現在バージョンを記録する

  4. 更新の手順（通知・手動）を決め、放置を防ぐ

追加の安全策（できる範囲で）

  • 社内端末の権限設計（一般ユーザー権限の徹底）

  • 拡張機能（Extensions）は必要最小限にし、出所不明なものを入れない

  • “困ったら初期化できる”ように、プロファイルのバックアップやセーフモード起動手順を用意する

初期設定でやっておきたいこと

導入直後チェックリスト（個人・社内共通）

  • 現在バージョンを控えた

  • 更新の確認方法（定期点検の頻度）を決めた

  • 外部ファイルは一次対応（閲覧・変換）を基本にする方針を決めた

  • マクロは原則禁止、例外は申請制にする方針を決めた

  • 拡張機能は必要最小限にするルールを決めた

社内向け追加チェックリスト

  • 更新担当者と代替担当者を決めた

  • 更新記録（いつ、どの版へ）を残す形式を決めた

  • 例外申請テンプレ（目的・保管場所・期限など）を配布した

  • 取引先ファイルの受領ルール（一次対応）を周知した

取引先ファイル受領時の運用フロー

一次対応フロー（開く前〜閲覧）

  1. 差出人と経路を確認する（いつもと違う、急ぎの煽りが強い等は注意）

  2. ファイル名・拡張子・添付内容の整合を確認する

  3. まず閲覧・変換で内容確認する（可能ならPDF）

  4. 共有前に社内の保管場所へ移し、個人PC上に散らさない

編集対応フロー（必要な場合のみ）

  1. 編集の必要性を確認する（閲覧で足りないか）

  2. 保存先を隔離する（作業用フォルダを固定）

  3. マクロや不審なリンクは原則許可しない

  4. 作業後は社内の正式保管場所へ戻し、外部へ返す場合はPDF化など形式統一を検討する

“外部ファイルを開く”行為のリスクは、脆弱性の種別によって増減します。情報流出に関わるタイプのCVEが公表されることもあるため、一次対応の標準化は強力な防波堤になります。

LibreOfficeの危険性に関するよくある質問

公式サイトから入れればウイルスは大丈夫か

公式サイトから入手し、更新を継続していれば、「非公式配布による混入」リスクは大きく下がります。ただし、脆弱性はゼロではないため、定期的にSecurity Advisoriesを確認し、修正版へ追随する運用が必要です。

Microsoft Officeファイルは安全か

ファイル形式そのものより、「外部から届く文書を開く」という入口が問題になりやすいです。一次対応（閲覧・変換）を標準化し、編集が必要な場合のみ隔離して扱うと、現場の事故率を下げやすくなります。

脆弱性ニュースが出たら何をすべきか

おすすめの対応は次の順です。

  1. 自分のLibreOfficeバージョンを確認

  2. 公式Security Advisoriesで“影響範囲”と“修正済みバージョン”を確認

  3. 優先度（即時／定期／状況次第）を決める

  4. 更新し、更新後バージョンを記録

  5. 社内向けに「何が改善されるか」を短く周知する（不安を増やさない）

社内導入で最低限決めるべきルールは何か

最低限、次の4点が決まっていれば、危険性は大きく下がります。

  • 入手経路を一本化（公式入手、配布固定）

  • 更新運用（点検頻度、担当、記録）

  • マクロ運用（原則禁止、例外は申請制）

  • 外部受領運用（一次対応は閲覧・変換、編集は隔離）

“何が危険か”より、“危険をどう管理するか”を決めるほど、社内説明が楽になります。

LibreOfficeの危険性を踏まえた次の行動

個人利用の最小セット

  • 公式サイトから入手し、ブックマークで迷いを消す

  • 更新を後回しにしない（少なくとも月1回は確認する）

  • 外部ファイルは一次対応（閲覧・変換）を基本にする

  • マクロや不審なリンクは安易に許可しない

社内利用の最小セット

  • 配布と更新を一本化（担当・頻度・記録）

  • Security Advisoriesを定期点検し、影響があれば優先度を決めて更新する

  • 例外運用（マクロ等）を申請制にして増殖を抑える

  • 外部受領の一次対応を標準化し、現場が迷わないようにする

定期見直しのポイント

  • 半年〜1年単位で「古い版が残っていないか」を棚卸しする

  • マクロ例外が増えすぎていないか、期限が切れていないか確認する

  • 取引先との受領形式（PDF化、共有方法）を見直す

  • 重大なCVEが出たときの連絡フロー（誰が判断し、誰が周知するか）を短く決めておく

危険性の議論は不安を煽りやすいテーマですが、実際に有効なのは「確認できる根拠」と「回せる運用」です。判断軸を固定し、やることを少なく、確実にするほど、安全性は上がります。

参考にした情報源

雑学の最新記事4件