> Дык давно уже нужно было писать модуль для smtp, а не все
> подряд звать через exec.

Такие модули есть такие и в phpmailer-е, и в swiftmailer-е.
Это не значит, что не надо править уязвимость в модуле, отправляющем через mail().

Совсем его выпилить не получится из-за популярности php на shared-хостингах, где и исходящие соединения по 25-му порту, и семейство exec-функций могут быть запрещены - и оставлена только функция mail().