CERT Polska opisał CVE-2026-45185 jako podatność umożliwiającą zdalne wykonanie kodu bez uwierzytelniania. Według alertu z 13 maja narażone były wersje Exim 4.97–4.99.2 skompilowane z GnuTLS. Administratorzy poczty na Debianie i Ubuntu powinni więc sprawdzić, który wariant usługi rzeczywiście działa, i potwierdzić jej aktualizację.

Czy wpis „Exim, wersja sprawdzona” wystarczy, żeby zakończyć ocenę narażenia serwera pocztowego? Po komunikacie CERT Polska z 13 maja odpowiedź wymaga jeszcze ustalenia, z jaką biblioteką skompilowano usługę. W czwartek 14 maja punktem wyjścia do przeglądu powinno być zestawienie numeru wersji z informacją o GnuTLS. Jeśli w wykazie jest tylko nazwa Exim, poprośmy administratora o uzupełnienie danych dotyczących działającego serwera. Jeżeli jest także numer wersji, sprawdźmy, czy zapis obejmuje sposób kompilacji. Dopiero tak przygotowaną odpowiedź odnieśmy do warunków alertu. To proponowane kryterium oceny własnego wdrożenia, bez przesądzania, jaki wariant działa w konkretnej organizacji.

CVE-2026-45185 łączy zakres wersji z kompilacją GnuTLS

Jak podaje CERT Polska w komunikacie o podatności Exim, możliwość wykonania kodu dotyczy zdalnego atakującego, który nie musi się uwierzytelnić. Przy ocenie tego alertu nie traktujmy więc samego wymagania logowania do poczty jako odpowiedzi na pytanie o narażenie usługi. Weryfikacja powinna dotyczyć warunków wskazanych dla CVE-2026-45185.

Zakres Exim 4.97–4.99.2 i kompilacja z GnuTLS tworzą wspólny warunek opisany w alercie. Porównując własne wdrożenie z komunikatem, zachowajmy oba elementy. Nie rozszerzajmy tego opisu na każdy serwer z Exim ani nie pomijajmy sprawdzenia biblioteki po samym odczytaniu numeru wersji. W notatce technicznej zapiszmy wynik każdego ustalenia wraz z podstawą, na której się opiera.

Opis możliwego skutku CVE-2026-45185 nie jest dowodem wykorzystania podatności na konkretnym serwerze. Oddzielmy zatem ocenę narażenia własnego Exim od ustaleń dotyczących ewentualnego incydentu. Nie przypisujmy tej luce skutków, których nie potwierdzono dla sprawdzanej usługi.

Ocenę narażenia Exim oprzyjmy na wersji i sposobie kompilacji rzeczywiście uruchomionej usługi.

Procedura przeglądu Exim powinna wymagać podstawy ustalenia

Rozważmy hipotetyczną procedurę, w której administrator wpisuje wersję Exim do wykazu, porównuje ją z alertem i oznacza przegląd jako zakończony. Przy CVE-2026-45185 do takiego formularza dopiszmy pytanie o GnuTLS. Ten przykład służy sprawdzeniu kompletności procedury; nie opisuje udokumentowanego zaniedbania żadnej organizacji.

W roboczej notatce dla Exim rozdzielmy informację od jej potwierdzenia. Obok numeru wersji i wariantu kompilacji umieśćmy wskazanie, skąd pochodzą dane oraz jakiej usługi dotyczą. Osoba odbierająca przegląd powinna móc sprawdzić, czy administrator odniósł się do działającego wdrożenia. Nie zamykajmy tego kroku wyłącznie na podstawie ogólnego opisu serwera pocztowego.

Jeżeli sposób kompilacji Exim pozostaje nieustalony, tak nazwijmy wynik. Zlećmy uzupełnienie informacji o GnuTLS i przypiszmy wykonawcę. Brak odpowiedzi nie powinien w proponowanej procedurze automatycznie oznaczać ani potwierdzenia podatności, ani wykluczenia narażenia. Dla każdej z tych decyzji wymagajmy uzasadnienia odnoszącego się do warunków alertu.

Po aktualizacji Exim ponownie sprawdźmy stan uruchomionej usługi. Do zapisu wykonanej zmiany dołączmy ustalenia, które pozwalają ocenić ją względem CVE-2026-45185, oraz wskażmy wszelkie nadal otwarte pytania.

Właściciel poczty powinien określić warunek zakończenia prac

Dla osoby odpowiedzialnej za pocztę najważniejszym skutkiem opisanym w alercie jest możliwość zdalnego wykonania kodu bez uwierzytelniania. Taki opis uzasadnia potraktowanie sprawdzenia Exim jako zadania wymagającego konkretnego wyniku. W informacji dla zarządu podajmy status weryfikacji wdrożenia, odpowiedzialnego administratora i następny krok dotyczący aktualizacji.

Nie wyceniajmy skutków CVE-2026-45185 na podstawie samej informacji o podatności. Koszt prac przy Exim, potrzebny czas i sposób ich organizacji ustalmy we własnym środowisku. Poprośmy właściciela poczty o zatwierdzenie zakresu działania i wskazanie osoby, która odbierze potwierdzenie rezultatu. Nie zastępujmy tej decyzji ogólnym statusem „przekazano do IT”.

Warunek zamknięcia zadania dotyczącego Exim zapiszmy przed jego wykonaniem: ustalenie wariantu wdrożenia, ocena względem alertu oraz potwierdzenie wyniku potrzebnej aktualizacji. Jeśli któregoś elementu brakuje, wymieńmy go w raporcie jako pozostałą pracę. Przy odbiorze wymagajmy odpowiedzi odnoszącej się do uruchomionej usługi i informacji pozwalających odtworzyć podstawę decyzji.

Zadanie dotyczące Exim zamykajmy po sprawdzeniu rezultatu zmiany w działającej usłudze.

Debian i Ubuntu wyznaczają zakres przeglądu dla odbiorcy

Dla polskiego administratora punktem odniesienia jest komunikat CERT Polska z 13 maja. Przegląd poczty na Debianie i Ubuntu oprzyjmy na opisanym warunku wersji Exim oraz kompilacji z GnuTLS. Samej nazwy systemu nie przyjmujmy jako wyniku oceny konkretnego wdrożenia.

W krajowej organizacji przygotujmy krótką informację o własnej usłudze Exim: co ustalono, czego jeszcze nie potwierdzono i kto ma uzupełnić odpowiedź. Samo ostrzeżenie o CVE-2026-45185 nie pozwala określić liczby dotkniętych nim polskich serwerów ani strat krajowych podmiotów. Nie dopisujmy takich ocen do raportu. Uzasadnienie przeglądu oprzyjmy na opisanej możliwości wykonania kodu i sprawdzeniu, czy własna poczta odpowiada warunkom alertu.

Co z tym zrobić w poniedziałek

Na każdą czynność przeznacz do 30 minut. Poniższy zakres obejmuje wstępną weryfikację i przygotowanie prac dotyczących Exim; pełną aktualizację rozlicz osobno.

  1. Uzupełnij dane jednego wdrożenia Exim. Wybierz serwer pocztowy na Debianie lub Ubuntu. Zbierz dostępne informacje o wersji działającej usługi i kompilacji z GnuTLS. Zapisz podstawę ustaleń; jeśli danych brakuje, wskaż administratora, który je dostarczy.
  2. Porównaj ustalenia z CVE-2026-45185. Odnieś zebrane dane do zakresu 4.97–4.99.2 i warunku GnuTLS. Zanotuj wynik albo pozostaw ocenę jako nieustaloną i wymień brakującą informację. Do zadania dołącz alert CERT Polska.
  3. Ustal odbiór aktualizacji Exim. Zapisz wykonawcę, osobę odbierającą zmianę i wymagane potwierdzenie stanu uruchomionej usługi. Jeśli aktualizację już zgłoszono jako wykonaną, przejrzyj dostępne potwierdzenie; brakujące ustalenia zapisz jako zadanie z terminem.

CVE-2026-45185 daje konkretne kryterium jakości przeglądu poczty: odpowiedź powinna obejmować wersję Exim oraz sposób jego kompilacji. Wymagajmy oceny zależności i konfiguracji rzeczywiście uruchomionej usługi. Aktualizację rozliczajmy tak samo i żądajmy potwierdzenia wyniku dla sprawdzonego wdrożenia.

Źródła

  1. CERT Polska: Krytyczna podatność w serwerze pocztowym Exim, publikacja: 13 maja 2026.

Redakcja cyberinsight.pl.