Сканер уязвимостей серверов, который читает ПО, установленное на ваших серверах

01  /  что это

Он читает ПО, установленное на каждом сервере

Termalin читает список ПО, установленного на сервере, изнутри, через уже работающий у вас Connector, и сверяет этот список на стороне Termalin с известными уязвимостями. Вы получаете точный затронутый пакет и версию, признак того, используется ли уязвимость в атаках, и команду, чтобы её исправить. Он смотрит на то, что установлено; он не прощупывает порты и не сканирует вашу сеть.

• ▸Изнутри, через Connector. Тот же Connector без ключа, что несёт терминал и мониторинг, читает список установленного ПО. Нет сканера, который нужно разворачивать, нет второго агента и нет открытого порта.
• ▸Проверяет серверы, которые вы подключили. Он читает установленное ПО через каждый Connector и не трогает машины без него.
• ▸Для поиска берутся только имена и версии. Список установленного ПО и lock-файлы ваших приложений считываются; с публичными данными об уязвимостях сверяются только имена и версии пакетов — никогда не то, с какого сервера или аккаунта они получены.
• ▸В кабинете и для ИИ-приложений. Находки появляются на странице «Безопасность» в веб-кабинете и доходят до Claude, ChatGPT и других ИИ-приложений через инструмент updates_list на облачном MCP-эндпоинте.

02  /  что проверяется

Всё установленное — от ОС до зависимостей ваших приложений

• ▸Дистрибутивы Linux. Ubuntu, Debian, AlmaLinux, Rocky, RHEL, CentOS, Alpine, SUSE Linux Enterprise и openSUSE, Amazon Linux — каждый сверяется со своими данными безопасности.
• ▸Запущенные контейнеры. Docker, containerd/Kubernetes, Podman и LXC, до 30 на сервер, каждый проверяется по своему дистрибутиву. Списки их пакетов считываются снаружи — внутри контейнера ничего не запускается.
• ▸Зависимости приложений. Lock-файлы в /var/www, /srv, /opt, домашних каталогах и /app: npm (package-lock, yarn, pnpm), composer.lock, Cargo.lock, Python (закреплённые версии в requirements.txt, poetry.lock), Go (go.sum), Gemfile.lock, gradle.lockfile и архивы Java jar/war/ear — включая fat-jar-архивы Spring Boot.
• ▸Среды выполнения, установленные мимо пакетного менеджера. Node.js, PHP, nginx, Python, Redis, Go, PostgreSQL, MariaDB, MongoDB, Apache, Java и .NET.
• ▸Серверы на Windows. Сборка сверяется с обновлениями безопасности Microsoft за последние три года — какой KB исправляет каждую CVE, какие эксплуатируются — и срок поддержки выпуска; SQL Server, Exchange, Office (Click-to-Run) и .NET; и установленные программы.
• ▸macOS. Версия ОС сверяется с последним патчем своей ветки, пакеты Homebrew и приложения.
• ▸Около восьмидесяти программ и веб-приложений, которых нет ни в одном дистрибутиве — по всей их истории CVE: WinRAR, 7-Zip, браузеры, Zimbra, WordPress, Joomla, Drupal, Nextcloud, phpMyAdmin, Moodle, Jenkins, GitLab, Grafana, Keycloak, Confluence, Jira, Proxmox и другие.

03  /  источники

Откуда берутся данные об уязвимостях

Сопоставление происходит на стороне Termalin, по нескольким источникам, так что находка несёт больше, чем просто номер CVE.

• ▸OSV.dev — собственные данные безопасности дистрибутивов.
• ▸CISA KEV — уязвимости, о которых известно, что их используют в атаках. Они показываются первыми.
• ▸FIRST EPSS — вероятность того, что уязвимость проэксплуатируют в течение следующих 30 дней.
• ▸Обходные решения Ubuntu и Red Hat — что делать, пока исправления ещё нет.
• ▸Бюллетени безопасности Node.js и endoflife.date — для сред выполнения и для веток, у которых закончилась поддержка.
• ▸Microsoft (MSRC) — Windows, SQL Server, Exchange, Office и .NET.
• ▸CVE List — для раннего предупреждения в тот же час, когда публикуется CVE высокой или критической серьёзности, пока собственные данные дистрибутива ещё не подхватили её.

04  /  как исправить

Каждая находка говорит, что делать

Каждая находка идёт с исправлением для этого сервера. Ничего не устанавливается автоматически — вы или ИИ-приложение применяете его только с вашего согласия.

• ▸Пакеты ОС. Команда обновления для пакетного менеджера этого сервера и нужна ли перезагрузка (новое ядро) или перезапуск службы — вместе с командой.
• ▸Исправления ещё нет. Исправленная сборка, ещё находящаяся в тестировании, или обходное решение от вендора (Ubuntu, Red Hat) — отключить модуль, добавить правило файрвола.
• ▸Контейнеры. Обновите образ и пересоздайте контейнер.
• ▸Зависимости приложений. Команда обновления, которую нужно выполнить в каталоге lock-файла, а затем передеплой.
• ▸Среда выполнения, пришедшая внутри другой программы (Node.js в раннере GitHub Actions, VS Code Server, snap) — обновите эту программу, а не подменяйте файл.
• ▸Ветка, у которой закончилась поддержка. Перейдите на поддерживаемую.

05  /  страница «Безопасность»

Уязвимости всех серверов — в одном месте

Откройте termal.in/account — страница «Безопасность» (значок щита) собирает всё вместе.

• ▸Плитки — используются в атаках, критические, с исправлением, нужна перезагрузка, ожидают обновления безопасности.
• ▸Список «Исправить в первую очередь» — то, что используется в атаках или критично и уже имеет исправление, с командой, которую можно скопировать.
• ▸Каждый сервер со своими счётчиками и полный список по каждому серверу — сначала его собственные пакеты, затем каждый контейнер под своим образом.
• ▸Оценка CVSS и вероятность эксплуатации у каждой находки и полное описание по запросу.

06  /  оповещения

Оповещения об уязвимостях, которые используются в атаках

Оповещение срабатывает, как только на сервере появляется уязвимость, которая используется в атаках и уже имеет исправление, по обычным каналам: email, Telegram, push и вебхук. Остальные CVE перечислены на странице «Безопасность», но оповещения не вызывают.

• ▸Ночная сводка для серверов, проверенных впервые (Connector добавлен в тот день): у каких есть уязвимости, используемые в атаках, и сколько их.
• ▸Мягкие напоминания. О новых — не чаще раза в день, напоминание через неделю, затем ежемесячно — и сообщение «исправлено», когда исчезает последняя.
• ▸Отдельный вид в настройках оповещений, так что его можно заглушить, не трогая остальные.

07  /  ИИ-приложения

«Какие из моих серверов уязвимы и как их исправить?»

Через облачный MCP-эндпоинт ИИ-приложение читает те же находки двумя инструментами только для чтения. updates_list возвращает ожидающие обновления безопасности и известные уязвимости с их исправлением и вероятностью эксплуатации — по одному хосту, по тегу или по всем серверам; cve отвечает на вопрос «на каких из моих серверов есть CVE-2026-…?». Примеры запросов:

• ▸«На каких из моих серверов есть уязвимости, используемые в атаках, и как их исправить?»
• ▸«Есть ли на каких-нибудь моих серверах CVE-2024-3094?»
• ▸«Пропатчи критические на prod, по одному серверу за раз, и проверь после.»

Ничего не устанавливается без вашего разрешения, а подключённое приложение видит только те серверы, которые разрешает его правило команд.

08  /  не нагружает серверы

Одна инвентаризация в день, с самым низким приоритетом

Проверка устроена так, чтобы не мешать.

• ▸Раз в сутки полный список установленного ПО читается с самым низким приоритетом по CPU и диску.
• ▸Ежечасно в одном запросе смотрятся только те немногие пакеты, для которых уже есть исправление.
• ▸Всё сопоставление происходит на стороне Termalin. Новые бюллетени каждый час сверяются с сохранёнными списками, не обращаясь к серверу, так что новая CVE появляется в течение часа — и установленное исправление в течение часа отмечается как закрытое.
• ▸Для поиска берутся только имена и версии пакетов — никогда не то, с какого сервера или аккаунта они получены.

09  /  тарифы

Входит в Pro и Team

Проверке нужен Connector, а Connector — функция платных тарифов, поэтому проверка уязвимостей входит в Pro и Team, а пробный период Pro на 14 дней включает её. На тарифе Free её нет. Посмотреть цены →