读取你服务器上已安装软件的服务器漏洞扫描器

01  /  它是什么

它读取每台服务器上已安装的软件

Termalin 从内部、通过你已经在运行的 Connector，读取服务器上已安装的软件清单，并在 Termalin 一侧将这份清单与已知漏洞比对。你会得到受影响的确切软件包和版本、该漏洞是否正被用于攻击，以及修复它的命令。它只看装了什么，既不探测端口，也不扫描你的网络。

• ▸从内部，经由 Connector。承载终端和监控的那个无密钥 Connector，也用它来读取已安装软件的清单。无需部署扫描器，没有第二个代理程序，也不开放端口。
• ▸它检查你已接入的服务器。它通过每个 Connector 读取已安装的软件，不碰任何没有 Connector 的机器。
• ▸只查询名称和版本。会读取已安装软件的清单和你应用的锁文件；只有包名和版本会与公开的漏洞数据比对，绝不包含它们来自哪台服务器或哪个账户。
• ▸在控制台里，也发送给 AI 应用。发现会出现在网页控制台的“安全”页面上，并通过托管 MCP 端点上的 updates_list 工具，到达 Claude、ChatGPT 等 AI 应用。

02  /  检查什么

从操作系统到你的应用依赖，凡是装了的都检查

• ▸Linux 发行版。Ubuntu、Debian、AlmaLinux、Rocky、RHEL、CentOS、Alpine、SUSE Linux Enterprise 和 openSUSE，以及 Amazon Linux——每一种都对照它自己的安全数据。
• ▸正在运行的容器。Docker、containerd/Kubernetes、Podman 和 LXC，每台服务器最多 30 个，各自按自己的发行版检查。它们的软件包清单从外部读取——容器内部不会运行任何东西。
• ▸应用依赖。/var/www、/srv、/opt、用户主目录和 /app 中的锁文件：npm（package-lock、yarn、pnpm）、composer.lock、Cargo.lock、Python（requirements.txt 固定版本、poetry.lock）、Go（go.sum）、Gemfile.lock、gradle.lockfile，以及 Java 的 jar/war/ear 归档——包括 Spring Boot 的 fat jar。
• ▸在包管理器之外安装的运行时。Node.js、PHP、nginx、Python、Redis、Go、PostgreSQL、MariaDB、MongoDB、Apache、Java 和 .NET。
• ▸Windows 服务器。将系统构建版本与微软最近三年的安全更新比对——每个 CVE 由哪个 KB 修复、哪些已被用于攻击——以及该版本是否仍在支持期内；SQL Server、Exchange、Office（Click-to-Run）和 .NET；还有已安装的程序。
• ▸macOS。将系统版本与其分支的最新补丁比对，还有 Homebrew 软件包和应用程序。
• ▸约八十种没有任何发行版自带的程序和 Web 应用，按它们完整的 CVE 历史检查——WinRAR、7-Zip、各类浏览器、Zimbra、WordPress、Joomla、Drupal、Nextcloud、phpMyAdmin、Moodle、Jenkins、GitLab、Grafana、Keycloak、Confluence、Jira、Proxmox 等等。

03  /  数据来源

漏洞数据从何而来

比对在 Termalin 一侧进行，依据多个数据来源，所以一条发现所带的信息不止一个 CVE 编号。

• ▸OSV.dev——各发行版自身的安全数据。
• ▸CISA KEV——已知正被用于攻击的漏洞。这些会排在最前面。
• ▸FIRST EPSS——某个漏洞在未来 30 天内被利用的概率。
• ▸Ubuntu 和 Red Hat 的变通办法——在还没有修复时该怎么做。
• ▸Node.js 安全公告和 endoflife.date——用于运行时，以及已过支持期的分支。
• ▸微软（MSRC）——Windows、SQL Server、Exchange、Office 和 .NET。
• ▸CVE List——在高危或严重 CVE 发布后的一小时内即可提前预警，早于发行版自身数据的更新。

04  /  如何修复

每一条发现都会告诉你该做什么

每一条发现都附带针对那台服务器的修复方法。不会自动安装任何东西——只有在你同意时，才由你或 AI 应用动手。

• ▸系统软件包。针对那台服务器包管理器的更新命令，以及是否需要重启（新内核）或重启服务——并附上命令。
• ▸暂无修复。仍在测试中的已修复版本，或厂商的变通办法（Ubuntu、Red Hat）——关掉某个模块、加一条防火墙规则。
• ▸容器。更新镜像并重新创建容器。
• ▸应用依赖。在锁文件所在目录中运行更新命令，然后重新部署。
• ▸随另一个程序一起带进来的运行时（GitHub Actions runner 里的 Node.js、VS Code Server、某个 snap）——更新那个程序，而不是替换文件。
• ▸已过支持期的分支。迁移到一个仍受支持的分支。

05  /  “安全”页面

所有服务器的漏洞，集中在一处

打开 termal.in/account，“安全”页面（盾牌图标）把这一切汇总在一起。

• ▸概览卡片——正被用于攻击、严重、已有修复、需要重启、待安装的安全更新。
• ▸一份“优先修复”清单——正被用于攻击或严重、且已有修复的漏洞，附上可复制的命令。
• ▸每台服务器及其计数，以及每台服务器的完整列表——先是它自己的软件包，然后是每个容器（按其镜像归类）。
• ▸每一条发现都带 CVSS 评分和被利用概率，需要时还能展开完整描述。

06  /  告警

针对正被用于攻击的漏洞发出告警

一旦某台服务器上出现正被用于攻击且已有修复的漏洞，就会立即通过常用渠道发出告警：电子邮件、Telegram、推送和 webhook。其他 CVE 会列在“安全”页面上，但不会触发告警。

• ▸每晚一份汇总，针对首次被检查的服务器（当天新增的 Connector）：哪些存在正被用于攻击的漏洞，以及有多少个。
• ▸温和的提醒。新发现最多每天提醒一次，一周后再提醒一次，之后改为每月一次——并在最后一个漏洞消失时发一条“已修复”的消息。
• ▸在告警设置里自成一类，所以你可以单独把它静音，而不影响其余告警。

07  /  AI 应用

“我的哪些服务器有风险，又该怎么修复？”

通过托管 MCP 端点，AI 应用可以用两个只读工具读取同样的发现。updates_list 返回待安装的安全更新和已知漏洞，连同各自的修复方法和被利用概率——可针对某一台主机、某个标签或全部服务器；cve 回答“我的哪些服务器存在 CVE-2026-……？”。示例提问：

• ▸“我的哪些服务器暴露于正被用于攻击的漏洞，又该怎么修复？”
• ▸“我有没有哪台服务器存在 CVE-2024-3094？”
• ▸“把 prod 上严重的漏洞修掉，一次一台服务器，修完再检查。”

未经你点头，不会安装任何东西；接入的应用也只能看到其命令规则所允许的服务器。

08  /  对服务器几乎没有负担

每天清点一次，以最低优先级运行

这项检查的设计目标就是不碍事。

• ▸每天一次，以最低的 CPU 和磁盘优先级读取已安装软件的完整清单。
• ▸每小时，只在一次查询中检查少数几个有修复可用的软件包。
• ▸所有比对都在 Termalin 一侧进行。新公告每小时与已存储的清单比对一次，无需再去问服务器，所以新的 CVE 会在一小时内出现——而装好的修复也会在一小时内显示为已关闭。
• ▸只查询包名和版本，绝不包含它们来自哪台服务器或哪个账户。

09  /  套餐

包含在 Pro 和 Team 中

这项检查需要 Connector，而 Connector 是付费套餐的功能——所以漏洞检查随 Pro 和 Team 提供，14 天 Pro 试用也包含它们。Free 版不提供。查看价格 →