Ein Schwachstellenscanner für Server, der die auf deinen Servern installierte Software liest.

01  /  was es ist

Es liest die auf jedem Server installierte Software.

Termalin liest die Liste der auf dem Server installierten Software – von innen, über den Connector, den du ohnehin betreibst – und gleicht diese Liste auf Termalins Seite mit bekannten Schwachstellen ab. Du bekommst das genaue betroffene Paket samt Version, ob die Schwachstelle in Angriffen genutzt wird, und den Befehl, um sie zu beheben. Es betrachtet, was installiert ist; es fragt keine Ports ab und scannt dein Netzwerk nicht.

• ▸Von innen, über den Connector. Derselbe schlüssellose Connector, der das Terminal und das Monitoring trägt, liest die Liste der installierten Software. Es gibt keinen Scanner auszurollen, keinen zweiten Agenten und keinen offenen Port.
• ▸Es prüft die Server, die du verbunden hast. Es liest die installierte Software über jeden Connector und lässt jede Maschine ohne Connector in Ruhe.
• ▸Abgeglichen werden nur Namen und Versionen. Gelesen werden die Liste der installierten Software und die Lock-Dateien deiner Anwendungen; mit öffentlichen Schwachstellendaten abgeglichen werden nur Paketnamen und -versionen, nie von welchem Server oder Konto sie stammen.
• ▸Im Web-Kabinett und für KI-Apps. Funde erscheinen im Web-Kabinett auf der Seite „Sicherheit“ und erreichen Claude, ChatGPT und andere KI-Apps über das Tool updates_list am gehosteten MCP-Endpoint.

02  /  was geprüft wird

Alles Installierte, vom Betriebssystem bis zu deinen App-Abhängigkeiten.

• ▸Linux-Distributionen. Ubuntu, Debian, AlmaLinux, Rocky, RHEL, CentOS, Alpine, SUSE Linux Enterprise und openSUSE sowie Amazon Linux – jede gegen ihre eigenen Sicherheitsdaten.
• ▸Laufende Container. Docker, containerd/Kubernetes, Podman und LXC, bis zu 30 pro Server, jeder nach seiner eigenen Distribution geprüft. Ihre Paketlisten werden von außen gelesen – in einem Container wird nichts ausgeführt.
• ▸Anwendungsabhängigkeiten. Lock-Dateien in /var/www, /srv, /opt, Home-Ordnern und /app: npm (package-lock, yarn, pnpm), composer.lock, Cargo.lock, Python (requirements.txt-Pins, poetry.lock), Go (go.sum), Gemfile.lock, gradle.lockfile und Java-Archive jar/war/ear – einschließlich Spring-Boot-Fat-Jars.
• ▸Runtimes, die außerhalb des Paketmanagers installiert sind. Node.js, PHP, nginx, Python, Redis, Go, PostgreSQL, MariaDB, MongoDB, Apache, Java und .NET.
• ▸Windows-Server. Der Build gegen Microsofts Sicherheitsupdates der letzten drei Jahre – welches KB welche CVE behebt, welche ausgenutzt werden – und der Support-Status der Version; SQL Server, Exchange, Office (Click-to-Run) und .NET; und die installierten Programme.
• ▸macOS. Die OS-Version gegen den neuesten Patch ihres Zweigs, Homebrew-Pakete und Anwendungen.
• ▸Rund achtzig Programme und Web-Apps, die keine Distribution mitliefert, anhand ihrer gesamten CVE-Historie – WinRAR, 7-Zip, Browser, Zimbra, WordPress, Joomla, Drupal, Nextcloud, phpMyAdmin, Moodle, Jenkins, GitLab, Grafana, Keycloak, Confluence, Jira, Proxmox und mehr.

03  /  Quellen

Woher die Schwachstellendaten kommen.

Der Abgleich geschieht auf Termalins Seite, gegen mehrere Quellen, sodass ein Fund mehr als eine CVE-Nummer trägt.

• ▸OSV.dev – die Sicherheitsdaten der Distributionen selbst.
• ▸CISA KEV – Schwachstellen, die bekanntermaßen in Angriffen genutzt werden. Diese werden zuerst gezeigt.
• ▸FIRST EPSS – die Wahrscheinlichkeit, dass eine Schwachstelle in den nächsten 30 Tagen ausgenutzt wird.
• ▸Übergangslösungen von Ubuntu und Red Hat – was zu tun ist, wenn es noch keinen Fix gibt.
• ▸Node.js-Sicherheitshinweise und endoflife.date – für Runtimes und für Zweige, deren Support ausgelaufen ist.
• ▸Microsoft (MSRC) – Windows, SQL Server, Exchange, Office und .NET.
• ▸Die CVE List – für eine Frühwarnung in der Stunde, in der eine hohe oder kritische CVE veröffentlicht wird, bevor die eigenen Daten der Distribution nachziehen.

04  /  wie man behebt

Jeder Fund sagt, was zu tun ist.

Zu jedem Fund gehört die Behebung für genau diesen Server. Nichts wird automatisch installiert – du oder die KI-App wendet sie nur an, wenn du zustimmst.

• ▸OS-Pakete. Der Update-Befehl für den Paketmanager dieses Servers und ob ein Neustart (ein neuer Kernel) oder ein Dienst-Neustart nötig ist – mitsamt Befehl.
• ▸Noch kein Fix. Ein behobener Build, der noch im Test ist, oder die Übergangslösung des Herstellers (Ubuntu, Red Hat) – ein Modul abschalten, eine Firewallregel hinzufügen.
• ▸Container. Das Image aktualisieren und den Container neu erstellen.
• ▸Anwendungsabhängigkeiten. Der Update-Befehl, den du im Ordner der Lock-Datei ausführst, dann neu ausrollen.
• ▸Eine Runtime, die in einem anderen Programm steckt (das Node.js in einem GitHub-Actions-Runner, VS Code Server, ein Snap) – aktualisiere dieses Programm, ersetze nicht die Datei.
• ▸Ein Zweig ohne Support. Wechsle auf einen unterstützten.

05  /  die Seite „Sicherheit“

Die Schwachstellen jedes Servers an einem Ort.

Öffne termal.in/account, und die Seite „Sicherheit“ (das Schild-Symbol) fasst alles zusammen.

• ▸Kacheln – in Angriffen genutzt, kritisch, mit Fix, Neustart nötig, ausstehende Sicherheitsupdates.
• ▸Eine Liste „Zuerst beheben“ – was in Angriffen genutzt oder kritisch ist und bereits einen Fix hat, mit dem Befehl zum Kopieren.
• ▸Jeder Server mit seinen Zahlen und die vollständige Liste jedes Servers – zuerst seine eigenen Pakete, dann jeder Container unter seinem Image.
• ▸CVSS-Score und Ausnutzungswahrscheinlichkeit bei jedem Fund und die vollständige Beschreibung auf Wunsch.

06  /  Alarme

Alarme für in Angriffen genutzte Schwachstellen.

Ein Alarm wird ausgelöst, sobald eine Schwachstelle, die in Angriffen genutzt wird und bereits einen Fix hat, auf einem Server auftaucht – über die üblichen Kanäle: E-Mail, Telegram, Push und Webhook. Andere CVEs sind auf der Seite „Sicherheit“ aufgeführt, lösen aber keinen Alarm aus.

• ▸Eine nächtliche Zusammenfassung für Server, die zum ersten Mal geprüft werden (ein an diesem Tag hinzugefügter Connector): welche in Angriffen genutzte Schwachstellen haben und wie viele.
• ▸Sanfte Erinnerungen. Neue höchstens einmal am Tag, eine Erinnerung nach einer Woche, dann monatlich – und eine „behoben“-Nachricht, wenn die letzte weg ist.
• ▸Eine eigene Art in den Alarm-Einstellungen, sodass du sie stummschalten kannst, ohne den Rest anzurühren.

07  /  KI-Apps

„Welche meiner Server sind angreifbar, und wie behebe ich das?“

Über den gehosteten MCP-Endpoint liest eine KI-App dieselben Funde mit zwei rein lesenden Tools. updates_list liefert die ausstehenden Sicherheitsupdates und die bekannten Schwachstellen samt Fix und Ausnutzungswahrscheinlichkeit – für einen Host, ein Tag oder alle Server; cve beantwortet „welche meiner Server haben CVE-2026-…?“. Beispiel-Prompts:

• ▸„Welche meiner Server sind von in Angriffen genutzten Schwachstellen betroffen, und wie behebe ich das?“
• ▸„Hat einer meiner Server CVE-2024-3094?“
• ▸„Patche die kritischen auf prod, einen Server nach dem anderen, und prüfe danach.“

Nichts wird ohne dein Okay installiert, und eine verbundene App sieht nur die Server, die ihre Befehlsregel erlaubt.

08  /  schonend für deine Server

Eine Inventur am Tag, mit der niedrigsten Priorität.

Die Prüfung ist so gebaut, dass sie nicht stört.

• ▸Einmal am Tag wird die vollständige Liste der installierten Software mit der niedrigsten CPU- und Datenträger-Priorität gelesen.
• ▸Stündlich werden nur die wenigen Pakete betrachtet, für die ein Fix bereitsteht, in einer einzigen Abfrage.
• ▸Aller Abgleich geschieht auf Termalins Seite. Neue Meldungen werden stündlich mit den gespeicherten Listen abgeglichen, ohne den Server zu fragen, sodass eine neue CVE innerhalb einer Stunde auftaucht – und ein installierter Fix ebenfalls innerhalb einer Stunde als geschlossen erscheint.
• ▸Abgeglichen werden nur Paketnamen und -versionen, nie von welchem Server oder Konto sie stammen.

09  /  Tarife

Teil von Pro und Team.

Die Prüfung braucht einen Connector, und Connectors gibt es in den bezahlten Tarifen – Schwachstellenprüfungen gehören also zu Pro und Team, und die 14-tägige Pro-Testphase enthält sie. Im Free-Tarif sind sie nicht dabei. Preise ansehen →