El informe llegó a través de una publicación en el blog Marius World, donde el autor describe cómo se topó con el problema tras actualizar sus servidores de correo de Fedora 42 a Fedora Server 43 (lanzado en octubre de 2025). Marius empezó a recibir quejas de clientes que no podían recibir correos electrónicos. Todos recibían el mismo mensaje de error del servidor de correo: "Autenticación en texto claro no permitida en conexiones no seguras (SSL/TLS)". Esto significaba que el cliente de correo del usuario intentaba utilizar una conexión sin cifrar, algo que los administradores de sistemas han dejado de utilizar hace décadas.

Marius se dio cuenta de que todas las personas afectadas utilizaban Outlook, al menos desde las versiones 2007 hasta la 2016. Lo peor de todo es que, aparentemente, todos tenían activada la casilla "Usar TLS/SSL", lo que significa que la seguridad del protocolo había sido degradada silenciosamente durante todo este tiempo. El error puede activarse al tener seleccionado el puerto 110 y utilizar el protocolo POP3. Forzar el TLS debería haber impulsado al cliente a moverse automáticamente al puerto 995, o al menos intentar una conexión TLS en el 110. Sin embargo, Outlook simplemente procede sin cifrado. "Es probable que los clientes hayan estado recuperando sus correos electrónicos en texto plano durante más de una década, creyendo erróneamente que el cifrado estaba activado", afirma Marius.


La razón por la que los administradores de servidores Fedora empezaron a ver este comportamiento recientemente es que la versión 43 actualizó el servidor de correo Dovecot SMTP/IMAP a la versión 2.4.3, una versión que incluye un backend que desactiva por completo la autenticación sin cifrar. Las razones probables por las que el problema no se detectó antes son que hoy en día el tipo de cuenta de correo predeterminado es IMAP, y que la configuración predeterminada de Outlook establece el puerto 995 para POP3 como predeterminado. Aun así, se apuesta a que un número significativo de usuarios se ven afectados, particularmente en entornos que deben soportar muchas configuraciones, como el alojamiento web.

La mitigación es bastante sencilla: compruebe la configuración de su cuenta de Outlook y, si utiliza POP3, asegúrese de que el puerto de conexión sea el 995. Que su correo electrónico pase por una conexión sin cifrar significa que cualquier persona en su red o en la ruta hacia su servidor puede leerlo fácilmente, exponiendo no solo sus comunicaciones, sino también las de otras personas. Marius también señala que esta situación es técnicamente una violación del RGPD de la UE, ya que la ley exige implícitamente que cualquier dato del cliente se envíe a través de conexiones cifradas.

Fuente:
TomsHardware