サーバーにインストールされたソフトウェアを読み取るサーバー脆弱性スキャナー

01  /  概要

各サーバーにインストールされたソフトウェアを読み取る

Termalin は、すでに動かしている Connector を通じて、サーバーにインストールされたソフトウェアの一覧を内側から読み取り、その一覧を Termalin 側で既知の脆弱性と照合します。影響を受けるパッケージとバージョンそのもの、その脆弱性が攻撃で悪用されているかどうか、そして修正するためのコマンドがわかります。見るのはインストールされているものだけで、ポートを調べたり、ネットワークをスキャンしたりはしません。

• ▸Connector を通じて、内側から。ターミナルや監視を運ぶのと同じ、鍵のいらない Connector が、インストール済みソフトウェアの一覧を読み取ります。デプロイするスキャナーも、2 つ目のエージェントも、開放ポートもありません。
• ▸接続済みのサーバーをチェックします。各 Connector を通じてインストール済みソフトウェアを読み取り、Connector のないマシンには触れません。
• ▸照合されるのは名前とバージョンだけ。インストール済みソフトウェアの一覧とアプリケーションのロックファイルを読み取りますが、公開された脆弱性データと照合されるのはパッケージ名とバージョンだけで、どのサーバーやアカウントのものかは照合されません。
• ▸キャビネットでも、AI アプリへも。検出項目はウェブキャビネットの「セキュリティ」ページに表示され、ホスト型 MCP エンドポイントの updates_list ツールを通じて Claude、ChatGPT などの AI アプリにも届きます。

02  /  チェック対象

OS からアプリの依存関係まで、入っているものすべて

• ▸Linux ディストリビューション。Ubuntu、Debian、AlmaLinux、Rocky、RHEL、CentOS、Alpine、SUSE Linux Enterprise と openSUSE、Amazon Linux——それぞれを自身のセキュリティデータと照合します。
• ▸稼働中のコンテナー。Docker、containerd/Kubernetes、Podman、LXC に対応し、1 サーバーあたり最大 30 個、それぞれを自身のディストリビューションでチェックします。パッケージリストは外側から読み取るもので、コンテナー内では何も実行しません。
• ▸アプリケーションの依存関係。/var/www、/srv、/opt、ホームフォルダー、/app にあるロックファイル：npm（package-lock、yarn、pnpm）、composer.lock、Cargo.lock、Python（requirements.txt のピン留め、poetry.lock）、Go（go.sum）、Gemfile.lock、gradle.lockfile、そして Java の jar/war/ear アーカイブ——Spring Boot の fat jar も含みます。
• ▸パッケージマネージャーの外でインストールされたランタイム。Node.js、PHP、nginx、Python、Redis、Go、PostgreSQL、MariaDB、MongoDB、Apache、Java、.NET。
• ▸Windows サーバー。ビルドを過去 3 年間の Microsoft のセキュリティアップデートと照合し（各 CVE をどの KB が修正するか、どれが悪用されているか）、そのリリースのサポート状況も確認します。SQL Server、Exchange、Office（Click-to-Run）、.NET、そしてインストール済みのプログラムも対象です。
• ▸macOS。OS のバージョンをそのブランチの最新パッチと照合し、Homebrew のパッケージとアプリケーションも確認します。
• ▸どのディストリビューションにも同梱されない約 80 種類のプログラムとウェブアプリを、その CVE 履歴全体にわたって確認します——WinRAR、7-Zip、ブラウザー、Zimbra、WordPress、Joomla、Drupal、Nextcloud、phpMyAdmin、Moodle、Jenkins、GitLab、Grafana、Keycloak、Confluence、Jira、Proxmox など。

03  /  情報源

脆弱性データの出どころ

照合は Termalin 側で複数の情報源に対して行われるため、各検出項目は CVE 番号以上の情報を持ちます。

• ▸OSV.dev——各ディストリビューション自身のセキュリティデータ。
• ▸CISA KEV——攻撃で悪用されていることが判明している脆弱性。これらは最初に表示されます。
• ▸FIRST EPSS——脆弱性が今後 30 日以内に悪用される可能性。
• ▸Ubuntu と Red Hat の回避策——まだ修正がないときの対処方法。
• ▸Node.js のセキュリティアドバイザリと endoflife.date——ランタイム向け、そしてサポートが終了したブランチ向け。
• ▸Microsoft（MSRC）——Windows、SQL Server、Exchange、Office、.NET。
• ▸CVE List——重要度の高い、または重大な CVE が公開されたその時間のうちに、ディストリビューション自身のデータが追いつく前に早期警告を出すため。

04  /  修正方法

検出項目ごとに、やるべきことがわかる

各検出項目には、そのサーバー向けの修正が付きます。自動でインストールされるものは何もなく、あなたか AI アプリが、あなたが同意したときにだけ適用します。

• ▸OS のパッケージ。そのサーバーのパッケージマネージャー向けの更新コマンドと、再起動（新しいカーネル）やサービスの再起動が必要かどうか——コマンドつきで。
• ▸まだ修正がない場合。テスト中の修正済みビルド、あるいはベンダー（Ubuntu、Red Hat）の回避策——モジュールを無効にする、ファイアウォールのルールを追加する、など。
• ▸コンテナー。イメージを更新し、コンテナーを作り直します。
• ▸アプリケーションの依存関係。ロックファイルのあるフォルダーで実行する更新コマンドと、その後の再デプロイ。
• ▸別のプログラムに同梱されたランタイム（GitHub Actions ランナー内の Node.js、VS Code Server、snap など）——ファイルを置き換えるのではなく、そのプログラムを更新します。
• ▸サポートが終了したブランチ。サポート中のブランチに移行します。

05  /  「セキュリティ」ページ

すべてのサーバーの脆弱性を、一か所に

termal.in/account を開くと、「セキュリティ」ページ（盾のアイコン）がすべてをまとめて表示します。

• ▸タイル——攻撃で悪用、重大、修正あり、再起動が必要、待機中のセキュリティ更新。
• ▸「最優先で修正」リスト——攻撃で悪用されている、または重大で、すでに修正がある項目を、コピーできるコマンドとともに。
• ▸各サーバーとその件数、そして各サーバーの全一覧——まずそのサーバー自身のパッケージ、続いて各コンテナーをそのイメージごとに表示します。
• ▸各検出項目の CVSS スコアと悪用の可能性、そして必要に応じて全文の説明。

06  /  アラート

攻撃で悪用されている脆弱性へのアラート

攻撃で悪用されていて、すでに修正がある脆弱性がサーバーに現れると、ただちにアラートが送られます。届け先はいつものチャンネル——メール、Telegram、プッシュ通知、Webhook です。それ以外の CVE は「セキュリティ」ページに一覧表示されますが、アラートは出ません。

• ▸夜間のサマリー。初めてチェックされたサーバー（その日に追加された Connector）について、攻撃で悪用されている脆弱性があるのはどれで、何件あるかをまとめます。
• ▸控えめなリマインダー。新しいものは 1 日に最大 1 回、1 週間後にリマインド、その後は月 1 回です。そして、最後の 1 件がなくなると「修正済み」のメッセージが届きます。
• ▸アラート設定では独立した種別なので、ほかに手を触れずにこれだけをミュートできます。

07  /  AI アプリ

「どのサーバーが危険にさらされていて、どう直せばいい？」

ホスト型 MCP エンドポイントを通じて、AI アプリは 2 つの読み取り専用ツールで同じ検出項目を読み取れます。updates_list は、未適用のセキュリティアップデートと既知の脆弱性を、その修正方法と悪用の可能性とともに返します——1 台のホスト、タグ、またはすべてのサーバーを対象に。cve は「どのサーバーに CVE-2026-… があるか」に答えます。プロンプトの例：

• ▸「攻撃で悪用されている脆弱性にさらされているサーバーはどれ？ どう直せばいい？」
• ▸「CVE-2024-3094 があるサーバーはある？」
• ▸「本番の重大なものにパッチを当てて。1 台ずつ、当てたあとに確認して。」

あなたの許可なく何かがインストールされることはなく、接続したアプリは、そのコマンドルールが許可したサーバーしか見られません。

08  /  サーバーへの負担は軽く

1 日 1 回のインベントリ、優先度は最低

このチェックは、邪魔にならないように作られています。

• ▸1 日 1 回、インストール済みソフトウェアの全一覧を CPU とディスクの優先度を最低にして読み取ります。
• ▸1 時間ごとに、修正が待っているわずかな数のパッケージだけを、1 回のクエリで確認します。
• ▸照合はすべて Termalin 側で行われます。新しいアドバイザリは、サーバーに問い合わせることなく、保存された一覧と 1 時間ごとに照合されます。そのため、新しい CVE は 1 時間以内に現れ、適用した修正も 1 時間以内に解消済みとして表示されます。
• ▸照合されるのはパッケージ名とバージョンだけで、どのサーバーやアカウントのものかは照合されません。

09  /  プラン

Pro と Team に含まれる機能

このチェックには Connector が必要で、Connector は有料プランの機能です。そのため脆弱性チェックは Pro と Team に含まれ、14 日間の Pro トライアルでも使えます。Free プランにはありません。料金を見る →