Pourquoi le numéro de version ne répond pas à la question
Le correctif amont d'Exim porte le numéro 4.100.1 : la fiche Ubuntu de CVE-2026-94054 décrit une faille présente dans « Exim before 4.100.1 ». Or Ubuntu 24.04 livre un paquet corrigé en 4.97-4ubuntu4.8, et Ubuntu 22.04 un paquet corrigé en 4.95-4ubuntu2.12. Les deux sont très en dessous de 4.100.1, et pourtant corrigés.
La raison est mécanique. Une distribution rétroporte le correctif dans l'ancienne branche qu'elle maintient : le numéro amont ne bouge pas, seule la révision du paquet, après le tiret, change. Comparer la sortie de exim4 -bV à 4.100.1 déclenche donc une fausse alerte sur un serveur sain. L'inverse existe aussi : un Exim compilé à la main, hors du gestionnaire de paquets, n'a aucune révision de distribution, et seul son numéro amont compte. La bonne question n'est pas « ma version est-elle assez haute ? » mais « mon paquet contient-il la révision corrigée, et son changelog cite-t-il la CVE ? ».
Paquets Exim corrigés par distribution (relevé du 28 octobre 2026)
Faites défiler le tableau
| Distribution | Paquet exim4 corrigé | Statut relevé |
|---|---|---|
| Ubuntu 26.04 LTS | 4.99.1-1ubuntu1.5 | Corrigé (USN-8834-1) |
| Ubuntu 24.04 LTS | 4.97-4ubuntu4.8 | Corrigé (USN-8834-1) |
| Ubuntu 22.04 LTS | 4.95-4ubuntu2.12 | Corrigé (USN-8834-1) |
| Ubuntu 26.10 | Sans objet | Non affectée selon Ubuntu |
| Debian 13 (trixie), dépôt de sécurité | 4.98.2-1+deb13u5 | Corrigé (DSA-6522-1) |
| Debian 12 (bookworm) | 4.96-15+deb12u10 | Marqué vulnérable au 28 octobre 2026 : relire le suivi avant d'agir |
| Debian forky et sid | 4.100.1-4 | Corrigé |
| AlmaLinux, Rocky | Selon le dépôt qui fournit Exim | Lire le changelog du paquet |
Ce que corrige l'avis Ubuntu USN-8834-1
- CVE-2026-94054 — écriture hors limites quand Proxy-Protocol est utilisé avec un proxy contrôlé par l'attaquant. Ubuntu la note 7.0 en CVSS 3, priorité Medium.
- CVE-2026-94056 — lecture de pile non initialisée dans le même contexte Proxy-Protocol, avec une fuite d'informations possible.
- CVE-2026-94057 — SMTP smuggling : des données envoyées après un rejet pendant la commande DATA permettent d'injecter des messages. Aucun proxy n'est nécessaire.
- CVE-2026-94055 — use-after-free avec GnuTLS et des réglages TLS non défaut. Seule Ubuntu 26.04 était concernée.
- Une priorité n'est pas votre risque — la priorité Medium juge la faille en général. Elle ne dit pas si votre serveur accepte des connexions via un proxy : les tests plus bas le disent.
Vérifier un paquet Exim, commande par commande
Lire la version brute
exim4 -bVaffiche la version amont d'Exim (le binaire s'appelleeximsur d'autres systèmes). Notez-la, mais ne concluez rien : c'est le numéro qui ne se compare pas à 4.100.1.Lire la révision du paquet
dpkg -s exim4-daemon-light | grep Versiondonne la révision installée. Remplacez le nom parexim4-daemon-heavysi c'est la variante en place, et listez-les avecdpkg -l 'exim4*'. Comparez à la table de référence.Chercher la CVE dans le changelog
apt changelog exim4 | grep -n CVE-2026-94054. Une ligne trouvée signifie que le correctif est dans le paquet. Aucune ligne : lancez la mise à jour puis refaites la commande.Sur AlmaLinux ou Rocky
rpm -q --changelog exim | grep CVEfait le même travail, à condition que le paquet vienne d'un dépôt qui le publie. Même logique pour Dovecot avecrpm -q --changelog dovecot | grep CVE-2026-42006.Demander à la distribution
Sur Debian,
debsecanliste les CVE connues pour les paquets installés. Sur Ubuntu,ubuntu-security-statusrésume quels paquets reçoivent encore des correctifs de sécurité ; il ne vise pas une CVE précise.Mettre à jour
sudo apt update && sudo apt install --only-upgrade 'exim4*', puis la même commande avec'dovecot*'si Dovecot tourne sur la machine.Vérifier le processus chargé
ls -l /proc/$(pgrep -o exim4)/exe. La mention (deleted) indique que le binaire a été remplacé sur le disque mais que l'ancien tourne encore en mémoire. Relancez avecsudo systemctl restart exim4.
Vérifier et corriger selon l'environnement
Faites défiler le tableau
| Environnement | Vérifier | Corriger |
|---|---|---|
| Debian, Ubuntu | `dpkg -s exim4-daemon-light | grep Version` | `sudo apt update && sudo apt install --only-upgrade 'exim4*' 'dovecot*'` |
| AlmaLinux, Rocky (Dovecot) | `rpm -q --changelog dovecot | grep CVE-2026-42006` | `sudo dnf upgrade dovecot` |
| AlmaLinux, Rocky (Exim hors dépôt de base) | `rpm -q --changelog exim | grep CVE-2026-94054` | Mise à jour via le dépôt qui le fournit, ou attendre son correctif |
| Docker (image Exim ou Dovecot) | `docker exec <container> exim -bV` | `docker pull <image>` puis recréer le conteneur |
| Mailcow | `docker compose exec dovecot-mailcow dovecot --version` | `./update.sh` dans le dossier Mailcow |
| Compilé à la main | `exim -bV` | Recompiler depuis une version amont corrigée, ou passer au paquet de la distribution |
Mettre à jour ne remplace pas le processus en cours
Après la mise à jour, un démon déjà lancé continue d'exécuter l'ancien binaire. Relancez sudo systemctl restart exim4 et sudo systemctl restart dovecot, ou laissez needrestart le proposer. Pour Ubuntu 20.04 et les versions antérieures, la fiche Ubuntu indique un statut « needs evaluation » : sans paquet corrigé, planifiez une migration d'OS plutôt que d'attendre.
Êtes-vous exposé : le test du Proxy-Protocol
Deux des quatre CVE exigent le Proxy-Protocol. Dans Exim, il s'active par l'option principale hosts_proxy. Sans elle, aucun client ordinaire n'atteint le code concerné par CVE-2026-94054 et CVE-2026-94056. Testez avec exim4 -bP hosts_proxy.
Une valeur vide indique qu'aucun hôte n'est déclaré comme proxy ; un message d'option inconnue peut venir d'une build sans ce support : vérifiez-le dans la documentation de votre build. Une liste d'adresses veut dire que ces hôtes parlent Proxy-Protocol : le risque dépend alors de leur fiabilité, puisque la faille suppose un proxy contrôlé par l'attaquant. Ce test ne couvre pas CVE-2026-94057, le SMTP smuggling, qui s'applique sans proxy, ni CVE-2026-94055, liée à GnuTLS et à des réglages TLS non défaut sur Ubuntu 26.04. Pour ceux-là, la mise à jour reste la seule parade.
Si votre distribution n'a pas encore de paquet corrigé
Le tableau le montre : au 28 octobre 2026, Debian 12 restait marqué vulnérable pour Exim. Attendre sans rien faire n'est pas la seule option. Commencez par réduire ce qui est joignable : si exim4 -bP hosts_proxy renvoie une valeur vide, les deux failles liées au Proxy-Protocol ne sont pas atteignables par un client ordinaire, et vous gagnez du temps sur elles. Pour le reste, limitez les sources autorisées sur le port 25 quand votre usage le permet, et surveillez le suivi de votre distribution jusqu'à la publication du paquet.
Recompiler Exim depuis les sources amont est possible, mais vous devenez alors le seul mainteneur de ce binaire : plus aucun apt upgrade ne le corrigera. Réservez ce choix à une équipe qui accepte ce suivi. Si la distribution est en fin de support, la sortie durable est une migration vers une version maintenue, à planifier plutôt qu'à subir.
Dovecot : CVE-2026-42006 et des sources qui ne se recoupent pas
CVE-2026-42006 décrit une consommation de mémoire non bornée lorsqu'un client IMAP envoie des accolades ouvrantes en excès. Elle contourne le correctif de CVE-2026-27857 ; selon le suivi Debian, celui-ci ne bloquait que les accolades fermantes. Dovecot.org la publie le 12 mai 2026 avec une sévérité Moderate, mais ne liste ni versions touchées ni versions corrigées : le site renvoie à l'avis d'Open-Xchange.
Debian donne des paquets précis : 1:2.3.19.1+dfsg1-2.1+deb12u6 pour bookworm et 1:2.4.1+dfsg1-6+deb13u7 pour trixie dans le dépôt de sécurité. Le suivi liste une autre révision pour trixie hors dépôt de sécurité : quand deux révisions coexistent, vérifiez celle que votre apt installe avec apt-get changelog dovecot-core | grep CVE-2026-42006. Ne déduisez rien de dovecot --version seul. Si la mise à jour doit attendre, la parade documentée est une valeur basse de vsz_limit pour le processus imap : elle borne la mémoire qu'un client peut consommer.
Deux sources se taisent ou se contredisent, et mieux vaut le savoir. Dovecot.org ne publie pas de versions corrigées, là où Debian en donne par distribution. Et la page de sécurité d'exim.org n'indexait pas ces CVE lors de notre relevé du 28 octobre 2026 : nous ne citons donc aucune date amont pour Exim. Ce sont les avis de distribution, Ubuntu et Debian, qui font foi pour décider de votre paquet.
Contrôler les traces après le correctif
Corriger ne dit pas si quelqu'un est passé avant. Cherchez des arrêts anormaux depuis l'avis : journalctl -u exim4 --since "2026-09-28" | grep -i -E 'segfault|signal|core dumped', puis journalctl -k --since "2026-09-28" | grep -i -E 'segfault|out of memory'. Côté Dovecot, journalctl -u dovecot --since "2026-09-28" | grep -i -E 'out of memory|killed' repère un processus imap tué par manque de mémoire.
Regardez aussi le journal d'Exim (/var/log/exim4/mainlog sur Debian et Ubuntu) pour des messages émis depuis des expéditeurs que vous ne connaissez pas. Une absence de trace ne prouve rien : une fuite de mémoire ne laisse aucune ligne. Gardez ces commandes comme contrôle de routine après chaque avis, pas comme preuve d'innocuité.
Qui tient les correctifs d'un serveur mail ?
Corriger un MTA exposé semble réservé à un administrateur système. La procédure ci-dessus tient en quelques commandes et se rejoue à chaque avis : lire le changelog, mettre à jour, redémarrer, vérifier le processus. Le vrai coût est la vigilance, c'est-à-dire suivre les avis USN et DSA, tester, ne jamais laisser une machine de côté.
Sur un VPS ServOrbit, vous avez l'accès root et le choix de l'OS (Ubuntu, Debian, AlmaLinux, Rocky). Si vous ne voulez pas tenir ces correctifs vous-même, l'option administration VPS existe, à souscrire séparément. Ce guide est fourni tel quel, sans prise en charge de votre configuration. Et si votre objectif est seulement d'avoir des adresses professionnelles, l'e-mail professionnel vous évite d'exploiter un MTA.
La documentation officielle
Avis Ubuntu USN-8834-1 (Exim) : https://ubuntu.com/security/notices/USN-8834-1
Fiche Ubuntu de CVE-2026-94054 : https://ubuntu.com/security/CVE-2026-94054
Suivi Debian de CVE-2026-94054 : https://security-tracker.debian.org/tracker/CVE-2026-94054
Suivi Debian de CVE-2026-42006 : https://security-tracker.debian.org/tracker/CVE-2026-42006
Page de sécurité de Dovecot : https://dovecot.org/security
Avis Open-Xchange oxdc-adv-2026-0002 : https://documentation.open-xchange.com/dovecot/security/advisories/html/2026/oxdc-adv-2026-0002.html
Exim, prise en charge des proxys (hosts_proxy) : https://www.exim.org/exim-html-current/doc/html/spec_html/ch-proxies.html
Page de sécurité d'Exim : https://www.exim.org/static/doc/security/
