Un escáner de vulnerabilidades de servidores que lee el software instalado en tus servidores.

01  /  qué es

Lee el software instalado en cada servidor.

Termalin lee la lista del software instalado en el servidor, desde dentro, a través del Connector que ya tienes en marcha, y coteja esa lista con las vulnerabilidades conocidas en el lado de Termalin. Obtienes el paquete y la versión exactos que están afectados, si la vulnerabilidad se está usando en ataques y el comando para corregirla. Mira lo que hay instalado; no sondea puertos ni escanea tu red.

• ▸Desde dentro, a través del Connector. El mismo Connector sin claves que transporta la terminal y la monitorización lee la lista del software instalado. No hay ningún escáner que desplegar, ni un segundo agente, ni un puerto abierto.
• ▸Comprueba los servidores que has conectado. Lee el software instalado por cada Connector y deja en paz cualquier máquina que no tenga uno.
• ▸Solo se cotejan nombres y versiones. Se leen la lista del software instalado y los lock files de tus aplicaciones; solo los nombres de paquete y las versiones se cotejan con datos públicos de vulnerabilidades, nunca de qué servidor o cuenta vinieron.
• ▸En el panel web y para las apps de IA. Los hallazgos aparecen en la página de Seguridad del panel web, y llegan a Claude, ChatGPT y otras apps de IA a través de la herramienta updates_list en el endpoint MCP alojado.

02  /  qué se comprueba

Todo lo instalado, del sistema operativo a las dependencias de tus apps.

• ▸Distribuciones de Linux. Ubuntu, Debian, AlmaLinux, Rocky, RHEL, CentOS, Alpine, SUSE Linux Enterprise y openSUSE, y Amazon Linux — cada una frente a sus propios datos de seguridad.
• ▸Contenedores en marcha. Docker, containerd/Kubernetes, Podman y LXC, hasta 30 por servidor, cada uno comprobado según su propia distribución. Sus listas de paquetes se leen desde fuera — no se ejecuta nada dentro de un contenedor.
• ▸Dependencias de aplicaciones. Lock files en /var/www, /srv, /opt, las carpetas de inicio y /app: npm (package-lock, yarn, pnpm), composer.lock, Cargo.lock, Python (versiones fijadas en requirements.txt, poetry.lock), Go (go.sum), Gemfile.lock, gradle.lockfile y archivos Java jar/war/ear — incluidos los fat jars de Spring Boot.
• ▸Runtimes instalados fuera del gestor de paquetes. Node.js, PHP, nginx, Python, Redis, Go, PostgreSQL, MariaDB, MongoDB, Apache, Java y .NET.
• ▸Servidores Windows. La compilación frente a las actualizaciones de seguridad de Microsoft de los últimos tres años — qué KB corrige cada CVE, cuáles se usan en ataques — y el soporte de la versión; SQL Server, Exchange, Office (Click-to-Run) y .NET; y los programas instalados.
• ▸macOS. La versión del sistema operativo frente al último parche de su rama, los paquetes de Homebrew y las aplicaciones.
• ▸Unos ochenta programas y apps web que ninguna distribución incluye, por todo su historial de CVE — WinRAR, 7-Zip, navegadores, Zimbra, WordPress, Joomla, Drupal, Nextcloud, phpMyAdmin, Moodle, Jenkins, GitLab, Grafana, Keycloak, Confluence, Jira, Proxmox y más.

03  /  fuentes

De dónde vienen los datos de vulnerabilidades.

El cotejo ocurre en el lado de Termalin, frente a varias fuentes, así que un hallazgo lleva algo más que un número de CVE.

• ▸OSV.dev — los propios datos de seguridad de las distribuciones.
• ▸CISA KEV — vulnerabilidades que se sabe que se usan en ataques. Se muestran primero.
• ▸FIRST EPSS — la probabilidad de que una vulnerabilidad se explote en los próximos 30 días.
• ▸Medidas temporales de Ubuntu y Red Hat — qué hacer cuando aún no hay corrección.
• ▸Avisos de seguridad de Node.js y endoflife.date — para los runtimes y para las ramas fuera de soporte.
• ▸Microsoft (MSRC) — Windows, SQL Server, Exchange, Office y .NET.
• ▸La CVE List — para un aviso temprano la misma hora en que se publica un CVE alto o crítico, antes de que los propios datos de la distribución se pongan al día.

04  /  cómo corregir

Cada hallazgo dice qué hacer.

Cada hallazgo viene con la corrección para ese servidor. No se instala nada automáticamente — lo aplicas tú o la app de IA solo cuando estás de acuerdo.

• ▸Paquetes del sistema operativo. El comando de actualización para el gestor de paquetes de ese servidor, y si hace falta un reinicio (un kernel nuevo) o reiniciar un servicio — con el comando.
• ▸Aún sin corrección. Una compilación corregida todavía en pruebas, o la medida temporal del fabricante (Ubuntu, Red Hat) — desactivar un módulo, añadir una regla de firewall.
• ▸Contenedores. Actualiza la imagen y vuelve a crear el contenedor.
• ▸Dependencias de aplicaciones. El comando de actualización para ejecutar en la carpeta del lock file, y luego vuelve a desplegar.
• ▸Un runtime que vino dentro de otro programa (el Node.js de un runner de GitHub Actions, VS Code Server, un snap) — actualiza ese programa, no reemplaces el archivo.
• ▸Una rama fuera de soporte. Pasa a una con soporte.

05  /  la página de Seguridad

Las vulnerabilidades de cada servidor, en un solo sitio.

Abre termal.in/account y la página de Seguridad (el icono del escudo) lo reúne todo.

• ▸Mosaicos — usadas en ataques, críticas, con corrección, reinicio necesario, actualizaciones de seguridad pendientes.
• ▸Una lista «Corregir primero» — lo que se usa en ataques o es crítico y ya tiene corrección, con el comando para copiar.
• ▸Cada servidor con sus recuentos, y la lista completa de cada servidor — primero sus propios paquetes, luego cada contenedor bajo su imagen.
• ▸Puntuación CVSS y probabilidad de explotación en cada hallazgo, y la descripción completa cuando la pidas.

06  /  alertas

Alertas para las vulnerabilidades usadas en ataques.

Salta una alerta en cuanto aparece en un servidor una vulnerabilidad que se usa en ataques y ya tiene corrección, por los canales de siempre: correo, Telegram, push y webhook. El resto de CVE se listan en la página de Seguridad pero no generan una alerta.

• ▸Un resumen nocturno para los servidores comprobados por primera vez (un Connector añadido ese día): cuáles tienen vulnerabilidades usadas en ataques y cuántas.
• ▸Recordatorios suaves. Las nuevas, como mucho una vez al día; un recordatorio tras una semana y luego cada mes — y un mensaje de «corregida» cuando desaparece la última.
• ▸Su propio tipo en los ajustes de alertas, así puedes silenciarlo sin tocar el resto.

07  /  apps de IA

«¿Cuáles de mis servidores están expuestos y cómo los corrijo?»

A través del endpoint MCP alojado, una app de IA lee los mismos hallazgos con dos herramientas de solo lectura. updates_list devuelve las actualizaciones de seguridad pendientes y las vulnerabilidades conocidas con su corrección y su probabilidad de explotación — para un host, una etiqueta o todos los servidores; cve responde «¿cuáles de mis servidores tienen CVE-2026-…?». Ejemplos de prompts:

• ▸«¿Cuáles de mis servidores están expuestos a vulnerabilidades usadas en ataques, y cómo los corrijo?»
• ▸«¿Alguno de mis servidores tiene CVE-2024-3094?»
• ▸«Parchea los críticos en prod, un servidor cada vez, y comprueba después.»

No se instala nada sin tu visto bueno, y una app conectada solo ve los servidores que su regla de comandos permite.

08  /  ligero en tus servidores

Un inventario al día, con la prioridad más baja.

La comprobación está pensada para no estorbar.

• ▸Una vez al día, la lista completa del software instalado se lee con la prioridad de CPU y disco más baja.
• ▸Cada hora, solo se miran los pocos paquetes que tienen una corrección pendiente, en una sola consulta.
• ▸Todo el cotejo ocurre en el lado de Termalin. Los nuevos avisos se cotejan con las listas guardadas cada hora sin preguntar al servidor, así que un CVE nuevo aparece en menos de una hora — y una corrección instalada se muestra como cerrada también en menos de una hora.
• ▸Solo se cotejan nombres de paquete y versiones, nunca de qué servidor o cuenta vinieron.

09  /  planes

Incluido en Pro y Team.

La comprobación necesita un Connector, y los Connectors son una función de los planes de pago — así que las comprobaciones de vulnerabilidades vienen con Pro y Team, y los 14 días de Pro de prueba las incluyen. No están en el plan Free. Ver precios →