最近公开的 CVE-2026-45185 是 Exim 邮件服务器中的一个高危漏洞，也被 XBOW 称为 Dead.Letter。简单说，它的问题不在邮件内容本身，而在 Exim 处理加密 SMTP 连接和分块邮件正文时，可能错误地继续使用一块已经释放的内存，最终造成内存破坏。NVD 对该漏洞的描述是：在特定 GnuTLS 配置下，Exim 4.99.3 之前版本的 BDAT 正文解析路径存在远程可触发的 use-after-free，未认证网络攻击者可能借此执行任意代码;MITRE 给出的 CVSS 3.1 评分为 9.8 / Critical。
这个漏洞是什么?
Exim 是一款常见的邮件传输服务器，很多 Linux/Unix 系统会用它来接收、转发和投递邮件。CVE-2026-45185 出现在 Exim 处理 SMTP 的 STARTTLS 加密连接 和 BDAT/CHUNKING 分块传输 时。可以把它理解成：客户端正在通过加密连接给邮件服务器传一段邮件正文，但传到一半时故意关闭 TLS，再在同一条 TCP 连接上补一个特殊字节。Exim 在某些 GnuTLS 构建中会把内部缓冲区释放掉，但后续处理逻辑仍可能继续往这块已经释放的内存里写入数据，导致堆内存损坏。Exim 官方公告也确认，攻击者只需要能够建立 TLS 连接并使用 CHUNKING/BDAT 扩展，就可能触发该问题。
这类问题叫 use-after-free，中文常说“释放后使用”。普通读者可以这样理解：程序把一个储物柜退还给系统了，但自己手里还留着旧钥匙;之后它又拿旧钥匙往柜子里放东西。麻烦在于，这个柜子可能已经被系统分给了别的用途，所以这一写就可能破坏其他关键数据。XBOW 的文章指出，这里最初看起来只是写入一个很小的字符，但这个字符可能落到 Exim 的内存分配器元数据上，从而被进一步扩大成更严重的内存破坏。
危害程度有多高?
这个漏洞的危害等级非常高，原因主要有三个。
第一，它是 远程可触发 的。攻击者不需要进入服务器本机，只要能通过网络连接到暴露的 Exim SMTP 服务，并满足相关协议条件，就可能触发漏洞。NVD 的评分向量显示该漏洞属于网络可利用、低攻击复杂度、不需要权限、不需要用户交互的类型。
第二，它可能导致 远程代码执行。这意味着攻击者理论上不只是让邮件服务崩溃，还可能在邮件服务器上执行自己控制的代码。邮件服务器通常能接触到邮件队列、日志、配置、域名和内部网络路径，一旦被攻陷，后续风险可能包括邮件数据泄露、服务器被植入后门、作为内网跳板继续横向移动，或被用于发送垃圾邮件和钓鱼邮件。NVD 和 Exim 官方说明都提到该漏洞可能导致任意代码执行或堆内存破坏。
第三，触发条件并不算“非常偏门”。Exim 官方公告写明，攻击者只需要能够建立 TLS 连接并使用 CHUNKING/BDAT SMTP 扩展;XBOW 也强调，触发该漏洞几乎不需要服务器启用特别罕见的配置。
因此，从防守视角看，它应当被视为 需要优先处理的互联网暴露面漏洞。尤其是面向公网开放 SMTP、Submission 或邮件网关服务的服务器，风险要高于只在内部网络中使用的系统。
影响范围是什么?
影响范围需要分两层看：上游 Exim 版本范围 和 发行版实际打包情况。
从 Exim 官方公告看，受影响的是 Exim 4.97 到 4.99.2.修复版本是 Exim 4.99.3.同时，官方明确说明该漏洞只影响使用 USE_GNUTLS=yes 构建的 Exim;使用 OpenSSL 或其他 TLS 库构建的版本不受这个漏洞影响。
不过，Linux 发行版经常会对旧版本软件做补丁回移，所以不能只看上游版本号判断是否安全。Debian 的安全跟踪页面就列出了多个发行版分支的修复包：例如 bookworm 的 exim4 从 4.96-15+deb12u7 更新到 4.96-15+deb12u9.trixie 从 4.98.2-1 更新到 4.98.2-1+deb13u2.bullseye 安全更新为 4.94.2-7+deb11u5.这说明在发行版环境中，应以对应发行版安全公告和软件包修复状态为准，而不是简单地认为“低于 4.97 就一定不受影响”。
可以概括为：
|
类别 |
风险判断 |
|
Exim 4.97–4.99.2.且使用 GnuTLS 构建 |
高风险，属于官方确认影响范围 |
|
Exim 4.99.3 或发行版已发布修复包 |
已修复，仍建议确认服务已重启 |
|
使用 OpenSSL 构建的 Exim |
官方说明不受该漏洞影响 |
|
发行版维护的旧版本 Exim |
不能只看版本号，应查看发行版安全公告和补丁状态 |
哪些场景最需要警惕?
最需要关注的是公网暴露的邮件服务器，特别是直接接收外部邮件的 MX 服务器、企业邮件网关、云主机上的自建邮件服务，以及长期未更新的 Debian/Ubuntu 系服务器。XBOW 提到，相关问题发生在 GnuTLS 处理 TLS 连接的路径中，而 GnuTLS 在许多 Debian 系发行版中很常见;官方公告也明确影响 USE_GNUTLS=yes 构建。
另外，邮件服务器本身常常被低估。很多组织会优先修复 Web、VPN、边界防火墙，却忽略邮件系统。但邮件服务器通常长期在线、面向公网、权限稳定，还会保留大量敏感通信数据。一旦被控制，攻击者不仅可能读取或篡改邮件，还可能利用可信域名和邮件基础设施发起后续钓鱼活动。
总结
CVE-2026-45185 是一个值得高度重视的 Exim 远程内存破坏漏洞。它的严重性来自三个因素：公网可达、不需要认证、可能远程代码执行。受影响范围主要集中在使用 GnuTLS 构建的 Exim，官方确认影响 Exim 4.97 到 4.99.2.并在 4.99.3 中修复;但具体到 Debian 等发行版，还需要以发行版安全包状态为准。
对普通组织来说，最重要的结论很简单：如果你的服务器跑 Exim，尤其是面向公网提供邮件服务，应尽快检查版本和 TLS 构建方式，并安装发行版提供的安全更新。
