لماذا لا يجيب رقم الإصدار عن السؤال
يحمل الإصلاح الأصلي في Exim الرقم 4.100.1: تصف صفحة Ubuntu للثغرة CVE-2026-94054 ثغرة موجودة في "Exim before 4.100.1". ومع ذلك يقدّم Ubuntu 24.04 حزمة مصحَّحة بالرقم 4.97-4ubuntu4.8، ويقدّم Ubuntu 22.04 حزمة مصحَّحة بالرقم 4.95-4ubuntu2.12. كلتاهما أقل بكثير من 4.100.1، ومع ذلك فهما مصحَّحتان.
السبب آلي. تنقل التوزيعة الإصلاح إلى الفرع القديم الذي تصونه: لا يتغير الرقم الأصلي، وإنما تتغير مراجعة الحزمة بعد الشرطة. لذلك تثير مقارنة ناتج exim4 -bV بالرقم 4.100.1 إنذاراً كاذباً على خادم سليم. والعكس موجود أيضاً: نسخة Exim مجمَّعة يدوياً خارج مدير الحزم ليست لها مراجعة توزيعة، ولا يُعتدّ إلا برقمها الأصلي. السؤال الصحيح ليس "هل إصداري مرتفع بما يكفي؟" بل "هل تحتوي حزمتي المراجعة المصحَّحة، وهل يذكر سجل تغييراتها الثغرة؟".
حزم Exim المصحَّحة بحسب التوزيعة (اطُّلع عليها في 28 أكتوبر 2026)
مرّر الجدول أفقيًا
| التوزيعة | حزمة exim4 المصحَّحة | الحالة المسجَّلة |
|---|---|---|
| Ubuntu 26.04 LTS | 4.99.1-1ubuntu1.5 | مصحَّحة (USN-8834-1) |
| Ubuntu 24.04 LTS | 4.97-4ubuntu4.8 | مصحَّحة (USN-8834-1) |
| Ubuntu 22.04 LTS | 4.95-4ubuntu2.12 | مصحَّحة (USN-8834-1) |
| Ubuntu 26.10 | لا ينطبق | غير متأثرة بحسب Ubuntu |
| Debian 13 (trixie)، مستودع الأمان | 4.98.2-1+deb13u5 | مصحَّحة (DSA-6522-1) |
| Debian 12 (bookworm) | 4.96-15+deb12u10 | موسومة بأنها معرّضة في 28 أكتوبر 2026: أعد قراءة المتتبّع قبل التصرف |
| Debian forky وsid | 4.100.1-4 | مصحَّحة |
| AlmaLinux وRocky | بحسب المستودع الذي يوفّر Exim | اقرأ سجل تغييرات الحزمة |
ما الذي يصلحه إشعار Ubuntu رقم USN-8834-1
- CVE-2026-94054 — كتابة خارج الحدود عند استخدام Proxy-Protocol مع وكيل يتحكم فيه المهاجم. يمنحها Ubuntu درجة 7.0 في CVSS 3 وأولوية Medium.
- CVE-2026-94056 — قراءة من المكدس دون تهيئة في سياق Proxy-Protocol نفسه، مع احتمال تسرّب معلومات.
- CVE-2026-94057 — SMTP smuggling: بيانات تُرسل بعد رفض أثناء الأمر DATA تتيح حقن رسائل. لا حاجة إلى أي وكيل.
- CVE-2026-94055 — استخدام بعد التحرير مع GnuTLS وإعدادات TLS غير افتراضية. كان Ubuntu 26.04 وحده متأثراً.
- الأولوية ليست خطرك — تحكم الأولوية Medium على الثغرة عموماً. ولا تقول إن كان خادمك يقبل اتصالات عبر وكيل: الاختبارات أدناه هي التي تقول ذلك.
التحقق من حزمة Exim، أمراً بعد أمر
قراءة الإصدار الخام
يعرض
exim4 -bVالإصدار الأصلي من Exim (يُسمّى الملف التنفيذيeximفي أنظمة أخرى). دوّنه لكن لا تستنتج شيئاً: هذا هو الرقم الذي لا يُقارن بـ 4.100.1.قراءة مراجعة الحزمة
يعطي
dpkg -s exim4-daemon-light | grep Versionالمراجعة المثبتة. بدّل الاسم بـexim4-daemon-heavyإن كانت هذه نسختك، واسردهما عبرdpkg -l 'exim4*'. قارن بجدول المرجع.البحث عن الثغرة في سجل التغييرات
نفّذ
apt changelog exim4 | grep -n CVE-2026-94054. ظهور سطر يعني أن الإصلاح داخل الحزمة. إن لم يظهر شيء: حدّث ثم أعد الأمر.على AlmaLinux أو Rocky
يؤدي
rpm -q --changelog exim | grep CVEالعمل نفسه، بشرط أن تأتي الحزمة من مستودع ينشرها. والمنطق نفسه لـ Dovecot عبرrpm -q --changelog dovecot | grep CVE-2026-42006.سؤال التوزيعة
في Debian، يسرد
debsecanالثغرات المعروفة للحزم المثبتة. وفي Ubuntu، يلخّصubuntu-security-statusالحزم التي ما زالت تتلقى إصلاحات أمنية؛ ولا يستهدف ثغرة بعينها.التحديث
نفّذ
sudo apt update && sudo apt install --only-upgrade 'exim4*'، ثم الأمر نفسه مع'dovecot*'إن كان Dovecot يعمل على الجهاز.التحقق من العملية المحمّلة
نفّذ
ls -l /proc/$(pgrep -o exim4)/exe. تدل عبارة (deleted) على أن الملف التنفيذي استُبدل على القرص بينما ما زال القديم يعمل في الذاكرة. أعد التشغيل عبرsudo systemctl restart exim4.
التحقق والإصلاح بحسب البيئة
مرّر الجدول أفقيًا
| البيئة | التحقق | الإصلاح |
|---|---|---|
| Debian وUbuntu | `dpkg -s exim4-daemon-light | grep Version` | `sudo apt update && sudo apt install --only-upgrade 'exim4*' 'dovecot*'` |
| AlmaLinux وRocky (Dovecot) | `rpm -q --changelog dovecot | grep CVE-2026-42006` | `sudo dnf upgrade dovecot` |
| AlmaLinux وRocky (Exim خارج المستودعات الأساسية) | `rpm -q --changelog exim | grep CVE-2026-94054` | التحديث عبر المستودع الذي يوفّره، أو انتظار إصلاحه |
| Docker (صورة Exim أو Dovecot) | `docker exec <container> exim -bV` | `docker pull <image>` ثم إعادة إنشاء الحاوية |
| Mailcow | `docker compose exec dovecot-mailcow dovecot --version` | `./update.sh` داخل مجلد Mailcow |
| مجمَّع يدوياً | `exim -bV` | إعادة التجميع من إصدار أصلي مصحَّح، أو الانتقال إلى حزمة التوزيعة |
التحديث لا يستبدل العملية الجارية
بعد التحديث، تواصل الخدمة التي كانت تعمل تنفيذ الملف القديم. أعد التشغيل عبر sudo systemctl restart exim4 وsudo systemctl restart dovecot، أو دع needrestart يقترح ذلك. أما Ubuntu 20.04 وما قبله، فتشير صفحة Ubuntu إلى حالة "needs evaluation": دون حزمة مصحَّحة، خطّط للانتقال إلى نظام أحدث بدل الانتظار.
هل أنت معرّض: اختبار Proxy-Protocol
تتطلب ثغرتان من أصل أربع استخدام Proxy-Protocol. يُفعَّل في Exim عبر الخيار الرئيسي hosts_proxy. وبدونه لا يصل أي عميل عادي إلى الشيفرة المعنية بالثغرتين CVE-2026-94054 وCVE-2026-94056. اختبر عبر exim4 -bP hosts_proxy.
تعني القيمة الفارغة أنه لا يوجد مضيف مُعلَن كوكيل؛ وقد تأتي رسالة خيار غير معروف من بناء بلا هذا الدعم: تحقق من ذلك في وثائق بنائك. وتعني قائمة العناوين أن هذه المضيفات تتحدث Proxy-Protocol: يتوقف الخطر حينها على مدى ثقتك بها، لأن الثغرة تفترض وكيلاً يتحكم فيه المهاجم. لا يغطي هذا الاختبار الثغرة CVE-2026-94057 (SMTP smuggling) التي تنطبق دون وكيل، ولا الثغرة CVE-2026-94055 المرتبطة بـ GnuTLS وبإعدادات TLS غير افتراضية في Ubuntu 26.04. وفي هاتين الحالتين يبقى التحديث الدفاع الوحيد.
إن لم تكن لدى توزيعتك حزمة مصحَّحة بعد
يُظهر الجدول ذلك: في 28 أكتوبر 2026 كان Debian 12 لا يزال موسوماً بأنه معرّض بالنسبة إلى Exim. والانتظار دون أي إجراء ليس الخيار الوحيد. ابدأ بتقليص ما يمكن الوصول إليه: إن أعاد exim4 -bP hosts_proxy قيمة فارغة، فلا يستطيع عميل عادي بلوغ ثغرتَي Proxy-Protocol، وتكسب وقتاً بشأنهما. وفي ما عدا ذلك، حدّ من المصادر المسموح لها بالمنفذ 25 متى سمح استخدامك بذلك، وتابع متتبّع توزيعتك حتى صدور الحزمة.
إعادة بناء Exim من المصادر الأصلية ممكنة، لكنك تصبح عندها المسؤول الوحيد عن هذا الملف التنفيذي: لن يصلحه أي apt upgrade بعد ذلك. اترك هذا الخيار لفريق يقبل هذه المتابعة. وإن كانت التوزيعة خارج الدعم، فالمخرج الدائم هو الانتقال إلى إصدار مدعوم، وهو أمر يُخطَّط له بدل أن يُفرض عليك.
Dovecot: الثغرة CVE-2026-42006 ومصادر لا تتطابق
تصف الثغرة CVE-2026-42006 استهلاكاً غير محدود للذاكرة عندما يرسل عميل IMAP عدداً مفرطاً من الأقواس المعقوفة الافتتاحية. وهي تتجاوز إصلاح الثغرة CVE-2026-27857؛ وبحسب متتبّع Debian كان ذلك الإصلاح يحجب الأقواس الختامية فقط. نشرها موقع Dovecot.org في 12 مايو 2026 بخطورة Moderate، لكنه لا يسرد إصدارات متأثرة ولا مصحَّحة: يحيل الموقع إلى نشرة Open-Xchange.
تقدّم Debian حزماً دقيقة: 1:2.3.19.1+dfsg1-2.1+deb12u6 لـ bookworm و1:2.4.1+dfsg1-6+deb13u7 لـ trixie في مستودع الأمان. ويسرد المتتبّع مراجعة أخرى لـ trixie خارج مستودع الأمان: عند تعايش مراجعتين، تحقق من التي يثبّتها apt لديك عبر apt-get changelog dovecot-core | grep CVE-2026-42006. لا تستنتج شيئاً من dovecot --version وحده. وإن كان لا بد من تأجيل التحديث، فالإجراء الموثّق هو قيمة منخفضة لـ vsz_limit لعملية imap: فهي تحدّ من الذاكرة التي يستطيع عميل استهلاكها.
مصدران يصمتان أو يتناقضان، ومن الأفضل أن تعرف ذلك. لا ينشر Dovecot.org إصدارات مصحَّحة، بينما تقدّمها Debian بحسب كل توزيعة. ولم تكن صفحة الأمان في exim.org تُدرج هذه الثغرات عند اطلاعنا عليها في 28 أكتوبر 2026، ولذلك لا نذكر أي تاريخ أصلي لـ Exim. وتبقى نشرات التوزيعات، Ubuntu وDebian، هي المرجع لتقرير حال حزمتك.
مراجعة السجلات بعد الإصلاح
الإصلاح لا يقول إن كان أحدهم قد مرّ قبله. ابحث عن توقفات غير طبيعية منذ صدور النشرة: journalctl -u exim4 --since "2026-09-28" | grep -i -E 'segfault|signal|core dumped'، ثم journalctl -k --since "2026-09-28" | grep -i -E 'segfault|out of memory'. وفي جانب Dovecot، يكشف journalctl -u dovecot --since "2026-09-28" | grep -i -E 'out of memory|killed' عملية imap أُنهيت بسبب نقص الذاكرة.
اطّلع كذلك على سجل Exim (/var/log/exim4/mainlog في Debian وUbuntu) بحثاً عن رسائل صادرة من مرسلين لا تعرفهم. غياب الأثر لا يثبت شيئاً: فتسرّب الذاكرة لا يترك أي سطر. احتفظ بهذه الأوامر كفحص دوري بعد كل نشرة، لا كدليل على السلامة.
من يتولى تحديث خادم البريد؟
يبدو إصلاح خادم بريد معرّض للإنترنت أمراً محجوزاً لمسؤول أنظمة. الإجراء أعلاه لا يتجاوز بضعة أوامر ويُعاد مع كل نشرة: قراءة سجل التغييرات، التحديث، إعادة التشغيل، التحقق من العملية. الكلفة الحقيقية هي اليقظة، أي متابعة إشعارات USN وDSA، والاختبار، وعدم ترك أي جهاز جانباً.
على خادم VPS من ServOrbit تحصل على صلاحيات الجذر وحرية اختيار النظام (Ubuntu وDebian وAlmaLinux وRocky). وإن كنت لا تريد تولّي هذه الإصلاحات بنفسك، فهناك خيار إدارة VPS، يُشترك فيه على حدة. هذا الدليل مقدَّم كما هو، دون دعم لإعداداتك. وإن كان هدفك مجرد عناوين بريد احترافية، فإن البريد الاحترافي يعفيك من تشغيل MTA.
الوثائق الرسمية
إشعار Ubuntu رقم USN-8834-1 الخاص بـ Exim: https://ubuntu.com/security/notices/USN-8834-1
صفحة Ubuntu للثغرة CVE-2026-94054: https://ubuntu.com/security/CVE-2026-94054
متتبّع Debian للثغرة CVE-2026-94054: https://security-tracker.debian.org/tracker/CVE-2026-94054
متتبّع Debian للثغرة CVE-2026-42006: https://security-tracker.debian.org/tracker/CVE-2026-42006
صفحة الأمان في Dovecot: https://dovecot.org/security
نشرة Open-Xchange رقم oxdc-adv-2026-0002: https://documentation.open-xchange.com/dovecot/security/advisories/html/2026/oxdc-adv-2026-0002.html
دعم الوكلاء في Exim (hosts_proxy): https://www.exim.org/exim-html-current/doc/html/spec_html/ch-proxies.html
صفحة الأمان في Exim: https://www.exim.org/static/doc/security/
