Un scanner de vulnérabilités de serveurs qui lit les logiciels installés sur vos serveurs.

01  /  ce que c’est

Elle lit les logiciels installés sur chaque serveur.

Termalin lit la liste des logiciels installés sur le serveur, depuis l’intérieur, par le Connector que vous faites déjà tourner, et compare cette liste aux vulnérabilités connues du côté de Termalin. Vous obtenez le paquet et la version exacts concernés, si la vulnérabilité est exploitée dans des attaques, et la commande pour la corriger. Elle regarde ce qui est installé ; elle ne sonde pas de ports et ne scanne pas votre réseau.

• ▸Depuis l’intérieur, par le Connector. Le même Connector sans clé qui transporte le terminal et la supervision lit la liste des logiciels installés. Aucun scanner à déployer, aucun second agent, aucun port ouvert.
• ▸Elle vérifie les serveurs que vous avez connectés. Elle lit les logiciels installés par chaque Connector et laisse tranquille toute machine qui n’en a pas.
• ▸Seuls les noms et les versions sont recherchés. La liste des logiciels installés et les fichiers de verrouillage de vos applications sont lus ; seuls les noms et les versions des paquets sont comparés à des données publiques sur les vulnérabilités, jamais le serveur ou le compte d’origine.
• ▸Dans l’espace web et pour les apps d’IA. Les résultats apparaissent sur la page Sécurité de l’espace web, et parviennent à Claude, ChatGPT et d’autres apps d’IA via l’outil updates_list sur l’endpoint MCP hébergé.

02  /  ce qui est vérifié

Tout ce qui est installé, du système aux dépendances de vos applications.

• ▸Distributions Linux. Ubuntu, Debian, AlmaLinux, Rocky, RHEL, CentOS, Alpine, SUSE Linux Enterprise et openSUSE, ainsi qu’Amazon Linux — chacune comparée à ses propres données de sécurité.
• ▸Conteneurs en cours d’exécution. Docker, containerd/Kubernetes, Podman et LXC, jusqu’à 30 par serveur, chacun vérifié selon sa propre distribution. Leurs listes de paquets sont lues depuis l’extérieur — rien n’est exécuté à l’intérieur d’un conteneur.
• ▸Dépendances d’applications. Les fichiers de verrouillage (lock files) dans /var/www, /srv, /opt, les dossiers personnels et /app : npm (package-lock, yarn, pnpm), composer.lock, Cargo.lock, Python (versions figées dans requirements.txt, poetry.lock), Go (go.sum), Gemfile.lock, gradle.lockfile, et les archives Java jar/war/ear — y compris les fat jars Spring Boot.
• ▸Runtimes installés hors du gestionnaire de paquets. Node.js, PHP, nginx, Python, Redis, Go, PostgreSQL, MariaDB, MongoDB, Apache, Java et .NET.
• ▸Serveurs Windows. Le build comparé aux mises à jour de sécurité de Microsoft des trois dernières années — quel KB corrige chaque CVE, lesquelles sont exploitées — et le support de la version ; SQL Server, Exchange, Office (Click-to-Run) et .NET ; et les programmes installés.
• ▸macOS. La version du système comparée au dernier correctif de sa branche, les paquets Homebrew et les applications.
• ▸Environ quatre-vingts programmes et applications web qu’aucune distribution ne fournit, sur tout leur historique de CVE — WinRAR, 7-Zip, navigateurs, Zimbra, WordPress, Joomla, Drupal, Nextcloud, phpMyAdmin, Moodle, Jenkins, GitLab, Grafana, Keycloak, Confluence, Jira, Proxmox et d’autres.

03  /  sources

D’où viennent les données sur les vulnérabilités.

La comparaison a lieu du côté de Termalin, avec plusieurs sources, si bien qu’une entrée porte plus qu’un numéro de CVE.

• ▸OSV.dev — les données de sécurité propres aux distributions.
• ▸CISA KEV — les vulnérabilités connues pour être exploitées dans des attaques. Elles sont affichées en premier.
• ▸FIRST EPSS — la probabilité qu’une vulnérabilité soit exploitée dans les 30 prochains jours.
• ▸Contournements Ubuntu et Red Hat — quoi faire quand il n’y a pas encore de correctif.
• ▸Bulletins de sécurité Node.js et endoflife.date — pour les runtimes, et pour les branches qui ne sont plus maintenues.
• ▸Microsoft (MSRC) — Windows, SQL Server, Exchange, Office et .NET.
• ▸La CVE List — pour une alerte précoce dès l’heure où une CVE élevée ou critique est publiée, avant que les données de la distribution ne rattrapent.

04  /  comment corriger

Chaque vulnérabilité indique quoi faire.

Chaque vulnérabilité détectée s’accompagne du correctif adapté à ce serveur. Rien n’est installé automatiquement — vous ou l’app d’IA l’appliquez seulement lorsque vous êtes d’accord.

• ▸Paquets du système. La commande de mise à jour pour le gestionnaire de paquets de ce serveur, et s’il faut un redémarrage (un nouveau noyau) ou un redémarrage de service — avec la commande.
• ▸Pas encore de correctif. Une version corrigée encore en test, ou le contournement de l’éditeur (Ubuntu, Red Hat) — désactiver un module, ajouter une règle de pare-feu.
• ▸Conteneurs. Mettez à jour l’image et recréez le conteneur.
• ▸Dépendances d’applications. La commande de mise à jour à lancer dans le dossier du fichier de verrouillage, puis redéployez.
• ▸Un runtime fourni avec un autre programme (le Node.js d’un runner GitHub Actions, VS Code Server, un snap) — mettez à jour ce programme, ne remplacez pas le fichier.
• ▸Une branche en fin de support. Passez à une branche maintenue.

05  /  la page Sécurité

Les vulnérabilités de chaque serveur, au même endroit.

Ouvrez termal.in/account : la page Sécurité (l’icône bouclier) rassemble tout.

• ▸Des vignettes — exploitées dans des attaques, critiques, avec correctif, redémarrage requis, mises à jour de sécurité en attente.
• ▸Une liste « À corriger d’abord » — ce qui est exploité dans des attaques ou critique et dispose déjà d’un correctif, avec la commande à copier.
• ▸Chaque serveur avec ses décomptes, et la liste complète de chaque serveur — ses propres paquets d’abord, puis chaque conteneur sous son image.
• ▸Le score CVSS et la probabilité d’exploitation sur chaque entrée, et la description complète sur demande.

06  /  alertes

Des alertes pour les vulnérabilités exploitées dans des attaques.

Une alerte se déclenche dès qu’une vulnérabilité exploitée dans des attaques et qui dispose déjà d’un correctif apparaît sur un serveur, par les canaux habituels : e-mail, Telegram, push et webhook. Les autres CVE sont listées sur la page Sécurité mais ne déclenchent pas d’alerte.

• ▸Un résumé nocturne pour les serveurs vérifiés pour la première fois (un Connector ajouté ce jour-là) : lesquels ont des vulnérabilités exploitées dans des attaques, et combien.
• ▸Des rappels discrets. Les nouveautés au plus une fois par jour, un rappel au bout d’une semaine, puis chaque mois — et un message « résolu » quand la dernière a disparu.
• ▸Un type d’alerte à part dans les paramètres d’alertes, pour la mettre en sourdine sans toucher au reste.

07  /  applications d’IA

« Lesquels de mes serveurs sont exposés, et comment les corriger ? »

Par l’endpoint MCP hébergé, une app d’IA lit les mêmes résultats avec deux outils en lecture seule. updates_list renvoie les mises à jour de sécurité en attente et les vulnérabilités connues avec leur correctif et leur probabilité d’exploitation — pour un hôte, une étiquette ou tous les serveurs ; cve répond à « lesquels de mes serveurs ont la CVE-2026-… ? ». Exemples de requêtes :

• ▸« Lesquels de mes serveurs sont exposés à des vulnérabilités exploitées dans des attaques, et comment les corriger ? »
• ▸« L’un de mes serveurs a-t-il la CVE-2024-3094 ? »
• ▸« Corrige les critiques sur prod, un serveur à la fois, et vérifie ensuite. »

Rien n’est installé sans votre accord, et une app connectée ne voit que les serveurs autorisés par sa règle de commandes.

08  /  léger pour vos serveurs

Un inventaire par jour, à la priorité la plus basse.

La vérification est conçue pour se faire oublier.

• ▸Une fois par jour, la liste complète des logiciels installés est lue à la priorité CPU et disque la plus basse.
• ▸Toutes les heures, seuls les quelques paquets avec un correctif en attente sont examinés, en une seule requête.
• ▸Toute la comparaison a lieu du côté de Termalin. Les nouveaux bulletins sont comparés aux listes enregistrées toutes les heures sans rien demander au serveur : une nouvelle CVE apparaît donc dans l’heure — et un correctif installé est marqué comme résolu dans l’heure, lui aussi.
• ▸Seuls les noms et les versions des paquets sont recherchés, jamais le serveur ou le compte d’origine.

09  /  forfaits

Inclus dans Pro et Team.

La vérification a besoin d’un Connector, et les Connectors sont réservés aux forfaits payants — les vérifications de vulnérabilités sont donc incluses dans Pro et Team, et l’essai Pro de 14 jours les comprend. Elles ne font pas partie du forfait Free. Voir les tarifs →