Exim açık kaynaklı posta aktarım aracının belirli yapılandırmalarını etkileyen kritik bir güvenlik açığı, kimlik doğrulaması yapmamış uzaktaki saldırganların keyfi kod çalıştırmasına olanak tanıyor. CVE-2026-45185 numarasıyla takip edilen bu Exim güvenlik açığı, sürüm 4.99.3 öncesindeki GnuTLS kütüphanesi kullanan yapılarda bulunurken TLS bağlantısının kapatılması sırasında ortaya çıkan bir kullanım sonrası bellek hatasından kaynaklanıyor. XBOW araştırmacısı Federico Kirschbaum tarafından keşfedilen zafiyet, Exim geliştiricilerine 1 Mayıs’ta bildirilirken düzeltme 4.99.3 sürümüyle kullanıma sunuldu.

Kritik Zafiyet TLS Bağlantısı Sırasında Bellek Bozulmasına Yol Açıyor

Exim, Linux ve Unix sunucularında e-posta göndermek, almak ve yönlendirmek için kullanılan yaygın bir açık kaynak posta aktarım aracı olarak öne çıkıyor. CVE-2026-45185, Exim’in TLS transfer tamponunu serbest bırakması ancak daha sonra boşaltılan bellek bölgesine veri yazabilen eski geri çağrı referanslarını kullanmaya devam etmesi nedeniyle tetikleniyor. Bu GnuTLS hatası, özellikle STARTTLS ve CHUNKING özelliklerinin aktif olduğu Exim sürümlerinde (4.97 ila 4.99.2) kendini gösteriyor.

Kimlik doğrulaması olmayan bir saldırgan, bu kullanım sonrası bellek bozulması yöntemiyle sunucuda keyfi komutlar çalıştırabiliyor. Saldırgan ayrıca Exim verilerine ve e-postalara erişebiliyor, hatta sunucu izinlerine bağlı olarak ortamda yanal hareket etme imkanı da yakalayabiliyor. OpenSSL tabanlı yapılar bu açıktan etkilenmezken yalnızca GnuTLS ile derlenmiş sistemler risk altında bulunuyor.

Yapay Zeka Destekli Saldırı Geliştirme Süreci Yedi Gün Sürdü

XBOW ekibi, CVE-2026-45185 için kavram kanıtı saldırı kodu geliştirmenin şirketin otonom yapay zeka destekli geliştirme sistemi XBOW Native ile büyük dil modeli destekli bir insan araştırmacı arasında yedi günlük bir yarışmaya dönüştüğünü açıkladı. XBOW Native, ASLR koruması olmayan ve PIE dışı ikili dosya kullanan basitleştirilmiş bir hedef Exim sunucusu için çalışan bir saldırı üretmeyi başardı. İkinci denemede büyük dil modeli, ASLR aktif ancak hala PIE dışı ikili dosya bulunan bir makinede saldırı gerçekleştirdi.

👉️ İlginizi Çekebilir: Windows 11’e Mayıs 2026 Toplu Güncellemesi Geldi

Araştırmacılar, XBOW Native’in glibc tahsis edicisi yerine Exim’in kendi tahsis sistemine saldırdığını belirtirken yarışmayı kazanan tarafın insan araştırmacı olduğunu vurguladı. İnsan araştırmacı, süreçte dosyaları birleştirme ve saldırı yollarını test etme gibi görevler için büyük dil modelinden yardım alsa da gerçek dünya yazılımlarına karşı tamamen otonom yapay zeka sistemlerinin henüz yeterli olmadığı sonucuna vardı. Araştırmacı, yapay zeka araçlarının insanların bilmediği kodları anlamasına ve şüpheli alanlarda çok daha hızlı derinlemesine analiz yapmasına yardımcı olduğunu ancak tek başına yeterli olmadığını belirtti. Ubuntu ve Debian tabanlı Linux dağıtımlarını kullanan sistem yöneticilerinin, paket yöneticileri aracılığıyla Exim güncellemesini (v4.99.3) hemen uygulamaları öneriliyor.