Sprawa była banalna, choć trudna do przewidzenia bez szklanej kuli. Otóż exim został zaktualizowany do wersji z current, ale openssl nie. Nie przyszło mi to do głowy. W sumie wygląda na to, że należałoby w paczcie exima dodać zależność od bardzo konkretnej wersji ssl. A zresztą być może w normalnym układzie by się to nawet "samo" zrobiło, tyle że tu odhaszowane było jedynie repozytorium extra-current i system nie miał nawet informacji o jakiejkolwiek wersji ssl.
Wnioski dla potomnych:
1. Trzeba mieć pełne repozytorium pakietów (a więc base-current, extra-current).
2. Aktualizując pakiety w jakiś sposób zależne od ssl - czyli openssh, apache, exim, tpop3d, samba, mysql i co tam jeszcze nie wiem, trzeba aktualizować openssl.
No to teraz czekam na te ciepłe bułeczki, z naciskiem na ciepłe
Aha i jeszcze jedno. Wygenerowałem tymczasowy certyfikat - z braku danych tymczasowy. Trzeba o jednej rzeczy w certyfikacie pamiętać pole Common Name musi mieć wpisaną nazwę qualify_domain czyli tutaj: wislanka.pl - w przeciwnym wypadku programy będą niepotrzebnie darły ryja o niezaufany certyfikat przy każdym odbiorze poczty.