Faille du serveur de courriel Exim exploitable sans connexion : mettez Exim à jour

En mai 2026, les mainteneurs d'Exim ont publié un correctif pour CVE-2026-45185, une faille critique du serveur de courriel Exim signalée par XBOW, qui l'a baptisée « Dead.Letter ». Elle a été annoncée le 12 mai 2026 avec une note CVSS de 9,8 sur 10.

Il s'agit d'une erreur de gestion de la mémoire lorsque Exim reçoit un message en plusieurs morceaux sur une connexion chiffrée. Selon l'avis d'Exim, un attaquant doit seulement ouvrir une connexion TLS et utiliser l'extension CHUNKING (BDAT), et la fiche CVE indique qu'un attaquant non authentifié pourrait exécuter du code sur le serveur. Exim précise qu'il n'existe aucune parade autre que la mise à jour. Les sources consultées ne signalent pas d'exploitation constatée.

Exim a ensuite publié d'autres mises à jour de sécurité : 4.99.4 en mai, 4.99.5 en juillet et 4.100.1 le 18 septembre 2026, qui corrigent des problèmes moins graves, notamment pour les serveurs utilisant le Proxy Protocol et une faille de contrebande SMTP.

Qui est concerné

Les versions d'Exim de 4.97 à 4.99.2 incluse, mais seulement celles compilées avec GnuTLS. Les versions utilisant OpenSSL ne sont pas touchées par cette faille. Exim est un serveur de courriel très répandu chez les hébergeurs Linux : c'est peut-être lui qui envoie et reçoit vos courriels professionnels. Sur un hébergement mutualisé, le serveur de courriel appartient à votre hébergeur.

Comment vérifier votre site

• Sur un hébergement mutualisé, demandez à votre hébergeur quelle version d'Exim tourne sur votre serveur et si elle a été mise à jour après mai 2026.
• Sur votre propre VPS, la commande exim -bV affiche la version installée. Votre distribution ou l'éditeur de votre panneau peut livrer un paquet corrigé sous un numéro de version plus ancien en apparence : consultez aussi leurs avis de sécurité.

Quoi faire maintenant

1. Demandez à votre hébergeur de confirmer qu'Exim est en version 4.99.3 ou plus récente, idéalement 4.100.1 ou plus, ou que son paquet inclut le correctif de CVE-2026-45185.
2. Sur votre propre serveur, installez la dernière mise à jour d'Exim proposée par votre distribution ou votre panneau, et activez les mises à jour de sécurité automatiques.
3. Si vous gérez le serveur et ne pouvez pas mettre à jour tout de suite, faites-vous aider par votre fournisseur : Exim n'indique aucune parade, seule la mise à jour corrige la faille.
4. Surveillez les signes anormaux, comme une hausse soudaine des envois ou l'apparition de votre domaine sur des listes de blocage antispam.

Les hébergeurs déploient en général les correctifs d'Exim rapidement avec leurs mises à jour courantes, donc un serveur mis à jour depuis mai 2026 est très probablement protégé contre cette faille, mais une confirmation reste utile. Cette alerte rapporte ce que les sources ci-dessous ont publié et ne constitue pas une garantie concernant un site en particulier.