El equipo de desarrollo de Exim ha lanzado la versión 4.99.2 para solucionar cuatro nuevas vulnerabilidades de seguridad descubiertas en su software de servidor de correo. Estos fallos permiten a los atacantes potencialmente colapsar servidores, corromper la memoria o filtrar información sensible. Dado que Exim es uno de los agentes de transferencia de mensajes más utilizados en internet, los administradores de sistemas deben aplicar esta actualización inmediatamente. La noticia destaca que las vulnerabilidades podrían ser explotadas mediante datos DNS maliciosos, lo que subraya la importancia de mantener el software actualizado para evitar riesgos críticos.

El equipo de desarrollo de Exim ha lanzado la versión 4.99.2 para solucionar cuatro vulnerabilidades de seguridad recién descubiertas que afectan a su software de servidor de correo.

Estos fallos permiten que los atacantes puedan provocar la caída de los servidores, corromper la memoria o filtrar información confidencial.

Debido a que Exim es uno de los agentes de transferencia de mensajes más utilizados en internet, necesitas aplicar esta actualización inmediatamente para asegurar tu infraestructura de correo electrónico.

Desglose de las vulnerabilidades descubiertas

La última actualización de seguridad corrige cuatro vulnerabilidades y exposiciones comunes (CVE) distintas que afectan la forma en que el servidor procesa las entradas externas.

• CVE-2026-40684 provoca una caída con datos DNS maliciosos; los registros PTR mal formados activan un error de impresión octal en sistemas que utilizan la biblioteca C musl, lo que resulta en una caída completa de la instancia de conexión.
  
• CVE-2026-40685 activa operaciones de lectura y escritura fuera de límites en configuraciones JSON corruptas que utilizan operadores JSON en entradas externas no válidas, lo que puede conducir directamente a la corrupción del montículo (heap).
  
• CVE-2026-40686 expone problemas de lectura fuera de límites a través de caracteres finales UTF-8 extensos; el procesamiento de encabezados mal formados podría filtrar datos si se requieren mensajes de error para correos electrónicos posteriores en la misma conexión.
  
• CVE-2026-40687 crea vulnerabilidades fuera de límites en el autenticador SPA; conectarse a un servicio SPA o NTLM externo comprometido puede provocar que la instancia se caiga o filtre la memoria del montículo (heap).

Los servidores de correo actúan como la columna vertebral de comunicación central para las organizaciones modernas, lo que los convierte en objetivos muy atractivos para los actores de amenazas.

Cuando los atacantes explotan vulnerabilidades de lectura y escritura fuera de límites, manipulan la forma en que un programa asigna su espacio de memoria.

Esto permite a los usuarios malintencionados extraer datos sensibles a los que no deberían tener acceso o sobrescribir datos, interrumpiendo las operaciones normales del servidor.

La caída relacionada con el DNS destaca específicamente cómo un simple registro mal formado puede causar una condición de denegación de servicio (DoS) para los sistemas que dependen de la biblioteca C musl.

Los actores de amenazas despliegan rutinariamente escáneres automatizados para identificar servidores de correo sin parchear conectados a internet.

Dejar estos puntos finales expuestos los hace altamente vulnerables a la explotación automatizada y a campañas dirigidas de extracción de datos.

Pasos de mitigación

Como administrador de sistemas, debes priorizar la actualización a Exim 4.99.2 inmediatamente.

El lanzamiento oficial de seguridad está disponible actualmente como una descarga tarball desde el sitio FTP principal de Exim. También puede obtenerse directamente desde el repositorio Git oficial de Exim.

Según el aviso, las versiones anteriores de Exim ya no cuentan con mantenimiento activo, y los defensores de la red deben tener esto en cuenta.

Esto significa que los despliegues heredados pueden conllevar estas vulnerabilidades permanentemente a menos que se actualicen a la rama actual.

También deberías revisar tus configuraciones de encabezados de correo electrónico para asegurar la validación correcta de las entradas JSON y UTF-8 proporcionadas externamente.