Se ha detectado una falla de seguridad grave en Exim, uno de los agentes de transferencia de correo más utilizados en internet. La vulnerabilidad, identificada como EXIM-Security-2026-05-01.1, permite que un atacante remoto corrompa la memoria del servidor y, potencialmente, ejecute código malicioso sin necesidad de credenciales o privilegios especiales. El problema fue divulgado públicamente el 12 de mayo de 2026.

Se ha encontrado un fallo de seguridad grave en Exim, uno de los agentes de transferencia de correo más desplegados en internet hoy en día. La vulnerabilidad, identificada como EXIM-Security-2026-05-01.1, permite que un atacante remoto corrompa la memoria del servidor y, potencialmente, ejecute código malicioso sin necesidad de privilegios o credenciales especiales.

Fue revelada públicamente el 12 de mayo de 2026, tras un proceso coordinado de divulgación responsable que comenzó a principios de mayo.

El fallo reside en el backend GnuTLS de Exim, el componente que gestiona la comunicación de correo cifrada a través de TLS. Se activa cuando un cliente utiliza el comando BDAT, que forma parte de la extensión CHUNKING en el protocolo SMTP utilizado para enviar cuerpos de correo electrónico grandes en fragmentos.

Si un atacante envía una alerta TLS close_notify antes de que finalice la transferencia del cuerpo, y luego le sigue un último byte en texto plano en la misma conexión TCP, el servidor entra en un estado peligroso e inestable.

Los mantenedores de Exim, liderados por Heiko Schlittermann, reconocieron el informe y confirmaron el problema después de recibirlo del investigador de seguridad Federico Kirschbaum de XBOW Security el 1 de mayo de 2026. El equipo actuó rápidamente, preparando una corrección en un repositorio privado y notificando a los distribuidores con acceso anticipado restringido a los parches antes de que el aviso público se publicara el 12 de mayo.

Lo que hace que esta vulnerabilidad sea especialmente preocupante es lo poco que necesita un atacante para llevarla a cabo con éxito. No se requiere ningún inicio de sesión, ni ninguna cuenta especial, ni acceso previo al sistema objetivo. Todo lo que necesita un atacante es la capacidad de abrir una conexión TLS a un servidor Exim y utilizar la extensión BDAT, siendo ambas funciones completamente estándar de la infraestructura de correo electrónico moderna disponibles para cualquier persona.

Nueva vulnerabilidad BDAT GnuTLS de Exim

Exim impulsa la entrega de correos electrónicos para una parte significativa de los servidores de internet en todo el mundo, particularmente en entornos basados en Linux. El alcance de este fallo es amplio, afectando a todas las compilaciones de Exim desde la versión 4.97 hasta la 4.99.2 que fueron compiladas con soporte para GnuTLS. Esto cubre una gran parte de los servidores de correo de producción que funcionan hoy en día, haciendo que la ventana de exposición sea una causa genuina de preocupación entre los administradores de sistemas y los equipos de seguridad a nivel global.

El núcleo técnico de esta vulnerabilidad es una condición de use-after-free (uso después de la liberación), una clase bien conocida de error de memoria donde un programa continúa utilizando una dirección de memoria después de que esta ya ha sido liberada. Cuando Exim recibe una alerta TLS close_notify a mitad de la transferencia durante una sesión BDAT activa, comienza a desmantelar la sesión TLS internamente. El problema es que la pila de procesamiento de entrada no se restablece correctamente en este punto, dejando atrás punteros de memoria obsoletos y peligrosos.

Cuando el atacante envía entonces un byte más en texto claro a través de la misma conexión TCP, Exim intenta escribir datos utilizando un puntero que ahora apunta a memoria liberada. Esto corrompe el heap, la región de memoria donde el programa almacena los datos activos y el estado de ejecución. En las condiciones adecuadas, un atacante puede utilizar esta corrupción para redireccionar la ejecución del código y ejecutar sus propios comandos en el servidor.

Vale la pena señalar que este problema solo afecta a las compilaciones de Exim compiladas con la bandera USE_GNUTLS=yes. Los servidores que utilizan OpenSSL u otras librerías TLS no son vulnerables a esta ruta de ataque específica, lo que reduce el alcance pero sigue dejando un gran número de sistemas totalmente expuestos y en riesgo.

Parche y acción recomendada

El equipo de desarrollo de Exim lanzó la versión 4.99.3 el 12 de mayo de 2026, que resuelve completamente la vulnerabilidad. La corrección restablece la pila de procesamiento de entrada de forma limpia siempre que llegue una notificación de cierre de TLS durante una transferencia BDAT activa, cortando toda la cadena de eventos que conduce a la corrupción del heap.

No existe ninguna solución alternativa conocida ni cambio de configuración que pueda proteger un sistema aparte de actualizar a la última versión. Los administradores de servidores que ejecuten Exim 4.97 hasta 4.99.2 con GnuTLS habilitado deben tratar esto como una actualización urgente y de alta prioridad. La versión parcheada está disponible a través del servidor FTP oficial de Exim y del repositorio de código para su despliegue inmediato.