Krytyczna luka w Eximie zagraża serwerom pocztowym. Administratorzy muszą działać szybko

W serwerze pocztowym Exim, który według danych z 2023 roku obsługuje około 59% publicznych serwerów poczty elektronicznej na świecie, odkryto krytyczną lukę bezpieczeństwa. Oznaczona jako CVE-2026-45185 podatność otrzymała maksymalną ocenę 9.8 na 10 w skali CVSS, co oznacza najwyższy poziom zagrożenia. Atakujący może zdalnie wykonać kod na serwerze (Remote Code Execution, RCE) bez konieczności posiadania jakichkolwiek danych uwierzytelniających. Luka, nazwana przez badaczy Dead Letter, dotyczy wersji Exima od 4.97 do 4.99.2 włącznie, czyli wszystkich wydań od końca 2023 roku. Administratorzy serwerów pocztowych powinni jak najszybciej sprawdzić wersję swojego oprogramowania i zastosować dostępną łatkę.

Co wiadomo o podatności Dead Letter

Luka CVE-2026-45185 została odkryta przez badaczy z firmy XBOW, którzy przy jej poszukiwaniu wykorzystali narzędzia sztucznej inteligencji. Jak opisują sami autorzy, „LLM mogą skrócić wczesne etapy badań nad podatnościami. Mogą pomóc zrozumieć nieznany kod, generować hipotezy i docierać do podejrzanych obszarów”. Jednocześnie zastrzegają, że trudne aspekty badania podatności pozostają nadal trudne. To pokazuje, że AI staje się coraz ważniejszym narzędziem w rękach specjalistów ds. bezpieczeństwa, ale nie zastępuje ich wiedzy i doświadczenia.

Podatność występuje tylko wtedy, gdy Exim został skompilowany z biblioteką GnuTLS. To ważna informacja dla administratorów, ponieważ wiele popularnych dystrybucji Linuksa, takich jak Debian czy Ubuntu, domyślnie korzysta właśnie z GnuTLS. W konsekwencji serwery działające na tych systemach są potencjalnie narażone, jeśli używają podatnej wersji Exima. Szczegóły techniczne luki zostały już opublikowane, a łatka jest dostępna.

Kto jest zagrożony i jakie są konsekwencje

Zagrożone są wszystkie organizacje i osoby prywatne, które utrzymują własne serwery pocztowe oparte na Eximie w wersjach od 4.97 do 4.99.2. Ponieważ luka pozwala na zdalne wykonanie kodu bez uwierzytelnienia, atakujący może przejąć pełną kontrolę nad serwerem. W praktyce oznacza to możliwość kradzieży przechowywanych wiadomości e-mail, danych logowania, a także wykorzystania serwera do dalszych ataków – na przykład do rozsyłania spamu lub phishingu. W skrajnych przypadkach atakujący może uzyskać dostęp do całej infrastruktury sieciowej, jeśli serwer pocztowy nie jest odpowiednio odizolowany.

Należy podkreślić, że Exim jest jednym z najpopularniejszych serwerów pocztowych na świecie. Według danych z 2023 roku, około 59% publicznych serwerów pocztowych to właśnie Exim. Zatem skala potencjalnego zagrożenia jest ogromna. Każdy administrator, który nie zaktualizuje oprogramowania, naraża swoją organizację na ryzyko włamania.

Jak się zabezpieczyć – praktyczne kroki dla administratorów

Najważniejszym i najskuteczniejszym działaniem jest natychmiastowa aktualizacja Exima do wersji 4.99.3 lub nowszej. Producent udostępnił już poprawkę, która eliminuje podatność CVE-2026-45185. Administratorzy powinni sprawdzić, jaką wersję Exima mają zainstalowaną na swoich serwerach. W systemach Debian i Ubuntu można to zrobić poleceniem exim --version lub dpkg -l | grep exim.

Jeśli aktualizacja nie jest możliwa od razu, należy rozważyć tymczasowe środki zaradcze. Należy sprawdzić, czy Exim został skompilowany z biblioteką GnuTLS. Jeśli tak, a aktualizacja jest opóźniona, można rozważyć przełączenie na bibliotekę OpenSSL, o ile możliwe w danej konfiguracji. Należy jednak pamiętać, że zmiana biblioteki kryptograficznej może wymagać ponownej kompilacji i testów. W ostateczności, jeśli serwer nie jest krytyczny, można go tymczasowo wyłączyć.

Poza aktualizacją należy również przejrzeć logi serwera pod kątem nietypowych prób połączeń lub nieautoryzowanych działań. Choć luka została dopiero ujawniona, atakujący mogli już wcześniej wykorzystywać ją w ukryciu. Należy także upewnić się, że serwer jest odpowiednio odizolowany od reszty sieci, a dostęp do niego mają tylko uprawnione osoby.

Szerszy kontekst – rosnąca rola AI w znajdowaniu luk

Odkrycie podatności Dead Letter jest interesujące nie tylko ze względu na jej krytyczność, ale także na metodę, jaką zastosowali badacze. Wykorzystanie sztucznej inteligencji do analizy kodu i generowania hipotez staje się coraz bardziej powszechne. Z jednej strony to dobra wiadomość, bo może przyspieszyć znajdowanie i łatanie niebezpiecznych błędów. Z drugiej strony, te same narzędzia mogą być używane przez cyberprzestępców do poszukiwania luk, które jeszcze nie zostały załatane. To wyścig, w którym liczy się szybkość reakcji.

Administratorzy nie mogą polegać wyłącznie na rutynowych aktualizacjach. W przypadku krytycznych podatności, takich jak CVE-2026-45185, czas reakcji jest kluczowy. Im szybciej łatka zostanie zastosowana, tym mniejsze ryzyko, że serwer padnie ofiarą ataku.

Należy śledzić komunikaty producentów oraz organizacji takich jak CERT Polska czy Sekurak, które na bieżąco informują o nowych zagrożeniach. W przypadku Exima, administratorzy powinni również regularnie sprawdzać oficjalną listę poprawek na stronie projektu.

Podsumowując, luka Dead Letter w Eximie to poważne zagrożenie, które wymaga natychmiastowej reakcji. Administratorzy serwerów pocztowych powinni jak najszybciej zaktualizować oprogramowanie do wersji 4.99.3 lub nowszej. Osoby, które nie zarządzają własnymi serwerami, ale korzystają z poczty u dostawców usług, nie muszą podejmować żadnych działań – to po stronie dostawcy leży obowiązek zabezpieczenia infrastruktury. Należy jednak upewnić się, że nasz dostawca poczty jest świadomy zagrożenia i podjął odpowiednie kroki.