Die kritische Schwachstelle CVE-2026-45185 ist ein sogenannter User-after-Free-Fehler (UAF) in der TLS-Behandlung des Exim-Mailservers. Der Bug tritt bei der TLS-Verbindungsbeendigung auf, wenn der Server BDAT-gepufferte SMTP-Verkehre verarbeitet. Das Programm gibt einen TLS-Transfer-Puffer frei, verwendet aber später noch veraltete Callback-Referenzen, die in den freigegeben Speicherbereich schreiben können — mit Folgen für die Sicherheit.
Die Lücke betrifft Exim-Versionen 4.97 bis 4.99.2, die mit der GnuTLS-Bibliothek kompiliert wurden und STARTTLS sowie CHUNKING-Funktionen bereitstellen. OpenSSL-basierte Builds sind nicht anfällig. Der Forscher Federico Kirschbaum von XBOW entdeckte die Schwachstelle und meldete sie am 1. Mai den Exim-Verantwortlichen, die am 5. Mai bestätigten. Betroffene Linux-Distributionen wurden drei Tage später informiert.
Ein erfolgreicher Angriff ermöglicht nicht nur die Ausführung beliebiger Befehle auf dem Server, sondern auch den Zugriff auf Exim-Daten und E-Mail-Inhalte. Je nach Server-Berechtigungen könnten Angreifer tiefer ins Netzwerk eindringen. Für deutsche Datenschützer ist relevant: Der BfDI und die Landesdatenschutzbehörden könnten Bußgelder bis 4 Prozent des Jahresumsatzes verhängen, wenn Unternehmen ihre Meldepflichten vernachlässigen.
Bemerkenswert ist auch die Entwicklungsgeschichte der Proof-of-Concept: XBOW testete sieben Tage lang sein KI-System XBOW Native gegen einen menschlichen Forscher mit LLM-Unterstützung. Das Ergebnis war spannend — am Ende gewann der Mensch, wobei das LLM bei administrativen Aufgaben half. Ein Forscher kommentierte: “Ich denke, LLMs allein sind noch nicht reif für Exploits gegen echte Produktiv-Software.” Doch er betonte auch den Wert von KI-Tools beim Verstehen unbekannten Codes.
Zum Schutz sollten Nutzer von Ubuntu- und Debian-Systemen sofort Exim auf Version 4.99.3 aktualisieren — über ihre Paketmanager. Für Unternehmen empfiehlt sich eine sofortige Bestandsaufnahme: Welche Server laufen Exim? Welche Version? Sind STARTTLS und CHUNKING aktiviert? Ein schnelles Update ist zentral für die Sicherheitslage.