[{"data":1,"prerenderedAt":221},["ShallowReactive",2],{"seo-verification":3,"blog-exim-dovecot-correctifs-serveur-mail-vps-verifier-version-fr":6},{"google":4,"bing":5},"EycwPY2XMyTkVzas3n1ygeNJFGAH513qrMjfDljzsMQ","",{"key":7,"data":8},"blog-exim-dovecot-correctifs-serveur-mail-vps-verifier-version-fr",{"id":9,"slug":10,"slugs":11,"title":15,"excerpt":16,"readTime":17,"views":18,"isPinned":19,"publishedAt":20,"updatedAt":21,"category":22,"categories":27,"featuredImage":29,"bgImage":30,"posterImage":31,"relatedSolution":29,"intro":32,"sections":33,"ctaTitle":166,"ctaBody":167,"ctaButton":168,"ctaUrl":169,"relatedPosts":170},519,"exim-dovecot-correctifs-serveur-mail-vps-verifier-version",{"fr":10,"en":12,"ar":13,"es":14},"exim-dovecot-patches-mail-server-vps-check-version","exim-dovecot-تصحيحات-خادم-البريد-vps-التحقق-من-الإصدار","exim-dovecot-correcciones-servidor-correo-vps-comprobar-version","Exim, Dovecot : vérifier qu'un paquet est vraiment corrigé","Exim 4.97 peut être corrigé alors que le correctif amont est 4.100.1. Lisez le changelog du paquet, testez l'exposition, redémarrez, contrôlez les traces.",9,0,false,"2026-10-28T00:00:00+00:00","2026-10-29T03:10:22+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":25},11,"E-mail professionnel","emails","bg-cyan-500\u002F10 text-cyan-400",[28],{"id":23,"name":24,"slug":25,"color":26,"icon":25},null,"\u002Fblog\u002Fcovers\u002Fbg.svg","\u002Fblog\u002Fcovers\u002Fexim-dovecot-correctifs-serveur-mail-vps-verifier-version-poster.svg","L'avis Ubuntu du 28 septembre 2026 et l'avis Debian correspondant pour Exim, puis la faille Dovecot de mai 2026, donnent des numéros de version que vos commandes ne reproduisent pas. `exim4 -bV` affiche la version amont, alors que la distribution corrige en gardant un numéro plus ancien : un Exim 4.97 peut être protégé, un autre non. Ce guide donne la méthode pour lire le changelog du paquet, tester l'exposition réelle, relancer le bon processus, et décider si ce serveur mail mérite d'être tenu par vous.",[34,38,76,85,110,141,145,148,151,154,157,160,163],{"type":35,"title":36,"body":37},"h2","Pourquoi le numéro de version ne répond pas à la question","Le correctif amont d'Exim porte le numéro 4.100.1 : la fiche Ubuntu de CVE-2026-94054 décrit une faille présente dans « Exim before 4.100.1 ». Or Ubuntu 24.04 livre un paquet corrigé en 4.97-4ubuntu4.8, et Ubuntu 22.04 un paquet corrigé en 4.95-4ubuntu2.12. Les deux sont très en dessous de 4.100.1, et pourtant corrigés.\n\nLa raison est mécanique. Une distribution rétroporte le correctif dans l'ancienne branche qu'elle maintient : le numéro amont ne bouge pas, seule la révision du paquet, après le tiret, change. Comparer la sortie de `exim4 -bV` à 4.100.1 déclenche donc une fausse alerte sur un serveur sain. L'inverse existe aussi : un Exim compilé à la main, hors du gestionnaire de paquets, n'a aucune révision de distribution, et seul son numéro amont compte. La bonne question n'est pas « ma version est-elle assez haute ? » mais « mon paquet contient-il la révision corrigée, et son changelog cite-t-il la CVE ? ».",{"type":39,"title":40,"headers":41,"rows":45},"comparison","Paquets Exim corrigés par distribution (relevé du 28 octobre 2026)",[42,43,44],"Distribution","Paquet exim4 corrigé","Statut relevé",[46,50,53,56,60,64,68,72],[47,48,49],"Ubuntu 26.04 LTS","4.99.1-1ubuntu1.5","Corrigé (USN-8834-1)",[51,52,49],"Ubuntu 24.04 LTS","4.97-4ubuntu4.8",[54,55,49],"Ubuntu 22.04 LTS","4.95-4ubuntu2.12",[57,58,59],"Ubuntu 26.10","Sans objet","Non affectée selon Ubuntu",[61,62,63],"Debian 13 (trixie), dépôt de sécurité","4.98.2-1+deb13u5","Corrigé (DSA-6522-1)",[65,66,67],"Debian 12 (bookworm)","4.96-15+deb12u10","Marqué vulnérable au 28 octobre 2026 : relire le suivi avant d'agir",[69,70,71],"Debian forky et sid","4.100.1-4","Corrigé",[73,74,75],"AlmaLinux, Rocky","Selon le dépôt qui fournit Exim","Lire le changelog du paquet",{"type":77,"title":78,"items":79},"ul","Ce que corrige l'avis Ubuntu USN-8834-1",[80,81,82,83,84],"**CVE-2026-94054** — écriture hors limites quand Proxy-Protocol est utilisé avec un proxy contrôlé par l'attaquant. Ubuntu la note 7.0 en CVSS 3, priorité Medium.","**CVE-2026-94056** — lecture de pile non initialisée dans le même contexte Proxy-Protocol, avec une fuite d'informations possible.","**CVE-2026-94057** — SMTP smuggling : des données envoyées après un rejet pendant la commande DATA permettent d'injecter des messages. Aucun proxy n'est nécessaire.","**CVE-2026-94055** — use-after-free avec GnuTLS et des réglages TLS non défaut. Seule Ubuntu 26.04 était concernée.","**Une priorité n'est pas votre risque** — la priorité Medium juge la faille en général. Elle ne dit pas si votre serveur accepte des connexions via un proxy : les tests plus bas le disent.",{"type":86,"title":87,"steps":88},"steps","Vérifier un paquet Exim, commande par commande",[89,92,95,98,101,104,107],{"title":90,"body":91},"Lire la version brute","`exim4 -bV` affiche la version amont d'Exim (le binaire s'appelle `exim` sur d'autres systèmes). Notez-la, mais ne concluez rien : c'est le numéro qui ne se compare pas à 4.100.1.",{"title":93,"body":94},"Lire la révision du paquet","`dpkg -s exim4-daemon-light | grep Version` donne la révision installée. Remplacez le nom par `exim4-daemon-heavy` si c'est la variante en place, et listez-les avec `dpkg -l 'exim4*'`. Comparez à la table de référence.",{"title":96,"body":97},"Chercher la CVE dans le changelog","`apt changelog exim4 | grep -n CVE-2026-94054`. Une ligne trouvée signifie que le correctif est dans le paquet. Aucune ligne : lancez la mise à jour puis refaites la commande.",{"title":99,"body":100},"Sur AlmaLinux ou Rocky","`rpm -q --changelog exim | grep CVE` fait le même travail, à condition que le paquet vienne d'un dépôt qui le publie. Même logique pour Dovecot avec `rpm -q --changelog dovecot | grep CVE-2026-42006`.",{"title":102,"body":103},"Demander à la distribution","Sur Debian, `debsecan` liste les CVE connues pour les paquets installés. Sur Ubuntu, `ubuntu-security-status` résume quels paquets reçoivent encore des correctifs de sécurité ; il ne vise pas une CVE précise.",{"title":105,"body":106},"Mettre à jour","`sudo apt update && sudo apt install --only-upgrade 'exim4*'`, puis la même commande avec `'dovecot*'` si Dovecot tourne sur la machine.",{"title":108,"body":109},"Vérifier le processus chargé","`ls -l \u002Fproc\u002F$(pgrep -o exim4)\u002Fexe`. La mention (deleted) indique que le binaire a été remplacé sur le disque mais que l'ancien tourne encore en mémoire. Relancez avec `sudo systemctl restart exim4`.",{"type":39,"title":111,"headers":112,"rows":116},"Vérifier et corriger selon l'environnement",[113,114,115],"Environnement","Vérifier","Corriger",[117,121,125,129,133,137],[118,119,120],"Debian, Ubuntu","`dpkg -s exim4-daemon-light | grep Version`","`sudo apt update && sudo apt install --only-upgrade 'exim4*' 'dovecot*'`",[122,123,124],"AlmaLinux, Rocky (Dovecot)","`rpm -q --changelog dovecot | grep CVE-2026-42006`","`sudo dnf upgrade dovecot`",[126,127,128],"AlmaLinux, Rocky (Exim hors dépôt de base)","`rpm -q --changelog exim | grep CVE-2026-94054`","Mise à jour via le dépôt qui le fournit, ou attendre son correctif",[130,131,132],"Docker (image Exim ou Dovecot)","`docker exec \u003Ccontainer> exim -bV`","`docker pull \u003Cimage>` puis recréer le conteneur",[134,135,136],"Mailcow","`docker compose exec dovecot-mailcow dovecot --version`","`.\u002Fupdate.sh` dans le dossier Mailcow",[138,139,140],"Compilé à la main","`exim -bV`","Recompiler depuis une version amont corrigée, ou passer au paquet de la distribution",{"type":142,"title":143,"body":144},"tip","Mettre à jour ne remplace pas le processus en cours","Après la mise à jour, un démon déjà lancé continue d'exécuter l'ancien binaire. Relancez `sudo systemctl restart exim4` et `sudo systemctl restart dovecot`, ou laissez `needrestart` le proposer. Pour Ubuntu 20.04 et les versions antérieures, la fiche Ubuntu indique un statut « needs evaluation » : sans paquet corrigé, planifiez une migration d'OS plutôt que d'attendre.",{"type":35,"title":146,"body":147},"Êtes-vous exposé : le test du Proxy-Protocol","Deux des quatre CVE exigent le Proxy-Protocol. Dans Exim, il s'active par l'option principale `hosts_proxy`. Sans elle, aucun client ordinaire n'atteint le code concerné par CVE-2026-94054 et CVE-2026-94056. Testez avec `exim4 -bP hosts_proxy`.\n\nUne valeur vide indique qu'aucun hôte n'est déclaré comme proxy ; un message d'option inconnue peut venir d'une build sans ce support : vérifiez-le dans la documentation de votre build. Une liste d'adresses veut dire que ces hôtes parlent Proxy-Protocol : le risque dépend alors de leur fiabilité, puisque la faille suppose un proxy contrôlé par l'attaquant. Ce test ne couvre pas CVE-2026-94057, le SMTP smuggling, qui s'applique sans proxy, ni CVE-2026-94055, liée à GnuTLS et à des réglages TLS non défaut sur Ubuntu 26.04. Pour ceux-là, la mise à jour reste la seule parade.",{"type":35,"title":149,"body":150},"Si votre distribution n'a pas encore de paquet corrigé","Le tableau le montre : au 28 octobre 2026, Debian 12 restait marqué vulnérable pour Exim. Attendre sans rien faire n'est pas la seule option. Commencez par réduire ce qui est joignable : si `exim4 -bP hosts_proxy` renvoie une valeur vide, les deux failles liées au Proxy-Protocol ne sont pas atteignables par un client ordinaire, et vous gagnez du temps sur elles. Pour le reste, limitez les sources autorisées sur le port 25 quand votre usage le permet, et surveillez le suivi de votre distribution jusqu'à la publication du paquet.\n\nRecompiler Exim depuis les sources amont est possible, mais vous devenez alors le seul mainteneur de ce binaire : plus aucun `apt upgrade` ne le corrigera. Réservez ce choix à une équipe qui accepte ce suivi. Si la distribution est en fin de support, la sortie durable est une migration vers une version maintenue, à planifier plutôt qu'à subir.",{"type":35,"title":152,"body":153},"Dovecot : CVE-2026-42006 et des sources qui ne se recoupent pas","CVE-2026-42006 décrit une consommation de mémoire non bornée lorsqu'un client IMAP envoie des accolades ouvrantes en excès. Elle contourne le correctif de CVE-2026-27857 ; selon le suivi Debian, celui-ci ne bloquait que les accolades fermantes. Dovecot.org la publie le 12 mai 2026 avec une sévérité Moderate, mais ne liste ni versions touchées ni versions corrigées : le site renvoie à l'avis d'Open-Xchange.\n\nDebian donne des paquets précis : 1:2.3.19.1+dfsg1-2.1+deb12u6 pour bookworm et 1:2.4.1+dfsg1-6+deb13u7 pour trixie dans le dépôt de sécurité. Le suivi liste une autre révision pour trixie hors dépôt de sécurité : quand deux révisions coexistent, vérifiez celle que votre `apt` installe avec `apt-get changelog dovecot-core | grep CVE-2026-42006`. Ne déduisez rien de `dovecot --version` seul. Si la mise à jour doit attendre, la parade documentée est une valeur basse de `vsz_limit` pour le processus imap : elle borne la mémoire qu'un client peut consommer.",{"type":155,"body":156},"p","Deux sources se taisent ou se contredisent, et mieux vaut le savoir. Dovecot.org ne publie pas de versions corrigées, là où Debian en donne par distribution. Et la page de sécurité d'exim.org n'indexait pas ces CVE lors de notre relevé du 28 octobre 2026 : nous ne citons donc aucune date amont pour Exim. Ce sont les avis de distribution, Ubuntu et Debian, qui font foi pour décider de votre paquet.",{"type":35,"title":158,"body":159},"Contrôler les traces après le correctif","Corriger ne dit pas si quelqu'un est passé avant. Cherchez des arrêts anormaux depuis l'avis : `journalctl -u exim4 --since \"2026-09-28\" | grep -i -E 'segfault|signal|core dumped'`, puis `journalctl -k --since \"2026-09-28\" | grep -i -E 'segfault|out of memory'`. Côté Dovecot, `journalctl -u dovecot --since \"2026-09-28\" | grep -i -E 'out of memory|killed'` repère un processus imap tué par manque de mémoire.\n\nRegardez aussi le journal d'Exim (`\u002Fvar\u002Flog\u002Fexim4\u002Fmainlog` sur Debian et Ubuntu) pour des messages émis depuis des expéditeurs que vous ne connaissez pas. Une absence de trace ne prouve rien : une fuite de mémoire ne laisse aucune ligne. Gardez ces commandes comme contrôle de routine après chaque avis, pas comme preuve d'innocuité.",{"type":35,"title":161,"body":162},"Qui tient les correctifs d'un serveur mail ?","Corriger un MTA exposé semble réservé à un administrateur système. La procédure ci-dessus tient en quelques commandes et se rejoue à chaque avis : lire le changelog, mettre à jour, redémarrer, vérifier le processus. Le vrai coût est la vigilance, c'est-à-dire suivre les avis USN et DSA, tester, ne jamais laisser une machine de côté.\n\nSur un VPS ServOrbit, vous avez l'accès root et le choix de l'OS (Ubuntu, Debian, AlmaLinux, Rocky). Si vous ne voulez pas tenir ces correctifs vous-même, l'option administration VPS existe, à souscrire séparément. Ce guide est fourni tel quel, sans prise en charge de votre configuration. Et si votre objectif est seulement d'avoir des adresses professionnelles, l'e-mail professionnel vous évite d'exploiter un MTA.",{"type":35,"title":164,"body":165},"La documentation officielle","Avis Ubuntu USN-8834-1 (Exim) : https:\u002F\u002Fubuntu.com\u002Fsecurity\u002Fnotices\u002FUSN-8834-1\n\nFiche Ubuntu de CVE-2026-94054 : https:\u002F\u002Fubuntu.com\u002Fsecurity\u002FCVE-2026-94054\n\nSuivi Debian de CVE-2026-94054 : https:\u002F\u002Fsecurity-tracker.debian.org\u002Ftracker\u002FCVE-2026-94054\n\nSuivi Debian de CVE-2026-42006 : https:\u002F\u002Fsecurity-tracker.debian.org\u002Ftracker\u002FCVE-2026-42006\n\nPage de sécurité de Dovecot : https:\u002F\u002Fdovecot.org\u002Fsecurity\n\nAvis Open-Xchange oxdc-adv-2026-0002 : https:\u002F\u002Fdocumentation.open-xchange.com\u002Fdovecot\u002Fsecurity\u002Fadvisories\u002Fhtml\u002F2026\u002Foxdc-adv-2026-0002.html\n\nExim, prise en charge des proxys (`hosts_proxy`) : https:\u002F\u002Fwww.exim.org\u002Fexim-html-current\u002Fdoc\u002Fhtml\u002Fspec_html\u002Fch-proxies.html\n\nPage de sécurité d'Exim : https:\u002F\u002Fwww.exim.org\u002Fstatic\u002Fdoc\u002Fsecurity\u002F","Un VPS à vous, avec root et le choix de l'OS","Un VPS ServOrbit donne l'accès root, une IPv4 dédiée et le choix de l'OS (Ubuntu, Debian, AlmaLinux, Rocky). Si vous ne voulez pas tenir vous-même les correctifs d'un serveur mail exposé, l'option administration VPS existe ; sinon, l'e-mail professionnel évite d'exploiter un MTA.","Voir les VPS Cloud","\u002Fvps-cloud",[171,188,204],{"id":172,"slug":173,"slugs":174,"title":178,"excerpt":179,"readTime":180,"views":181,"isPinned":19,"publishedAt":182,"updatedAt":183,"category":184,"categories":185,"featuredImage":29,"bgImage":30,"posterImage":187,"relatedSolution":29},238,"heberger-serveur-email-vps-mailcow",{"fr":173,"en":175,"ar":176,"es":177},"hosting-your-own-email-server-on-a-vps-with-mailcow","استضافة-خادم-البريد-الإلكتروني-على-vps-باستخدام-mailcow","alojar-servidor-correo-vps-mailcow","Héberger son serveur e-mail sur VPS avec Mailcow","Installez Mailcow sur un VPS Linux pour héberger votre serveur e-mail souverain : installation, délivrabilité et migration depuis Google Workspace.",20,3,"2026-08-08T00:00:00+00:00","2026-10-29T03:10:23+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":25},[186],{"id":23,"name":24,"slug":25,"color":26,"icon":25},"\u002Fblog\u002Fcovers\u002Fheberger-serveur-email-vps-mailcow-poster.svg",{"id":189,"slug":190,"slugs":191,"title":195,"excerpt":196,"readTime":197,"views":18,"isPinned":19,"publishedAt":198,"updatedAt":199,"category":200,"categories":201,"featuredImage":29,"bgImage":30,"posterImage":203,"relatedSolution":29},459,"serveur-email-self-hosted-comparatif-vps-2026",{"fr":190,"en":192,"ar":193,"es":194},"self-hosted-email-server-on-vps-comparison-2026","مقارنة-خوادم-البريد-self-hosted-على-vps-2026","comparativa-servidores-email-self-hosted-en-vps-2026","Serveur email self-hosted sur VPS : comparatif 2026","Stalwart, Mailcow ou Postfix+Dovecot : comparez RAM, complexité et périmètre anti-spam pour choisir le serveur email adapté à votre VPS en moins de 10 minutes.",10,"2026-10-16T00:00:00+00:00","2026-10-18T21:57:56+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":25},[202],{"id":23,"name":24,"slug":25,"color":26,"icon":25},"\u002Fblog\u002Fcovers\u002Fserveur-email-self-hosted-comparatif-vps-2026-poster.svg",{"id":205,"slug":206,"slugs":207,"title":211,"excerpt":212,"readTime":213,"views":214,"isPinned":19,"publishedAt":215,"updatedAt":216,"category":217,"categories":218,"featuredImage":29,"bgImage":30,"posterImage":220,"relatedSolution":29},280,"smtp-relay-vps-emails-transactionnels-clients",{"fr":206,"en":208,"ar":209,"es":210},"postfix-smtp-relay-on-vps-client-transactional-emails","إعداد-postfix-smtp-relay-على-vps-لبريد-المواقع","relay-smtp-postfix-en-vps-emails-transaccionales","SMTP relay Postfix sur VPS : emails transactionnels clients","Configurez Postfix en relay SMTP sur un VPS ServOrbit : IPv4 dédiée, SPF, DKIM et DMARC alignés pour tous vos sites clients cPanel en moins d'une heure.",8,1,"2026-08-18T00:00:00+00:00","2026-09-07T11:26:10+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":25},[219],{"id":23,"name":24,"slug":25,"color":26,"icon":25},"\u002Fblog\u002Fcovers\u002Fsmtp-relay-vps-emails-transactionnels-clients-poster.svg",1793251232534]