Ihr Scanner liefert eine Wand voller Befunde: Die Hälfte hat Ubuntu bereits durch Backports behoben, während eine KEV-Schwachstelle in einem öffentlichen Dienst mittendrin untergeht. Die bezahlte PatchFirst-Überwachung erstellt eine P0–P3-Arbeitsliste. Die kostenlose Prüfung liefert eine Bewertung und hervorgehobene Stacks ohne Befunddetails.
Eine kostenlose Prüfung: Bewertung, hervorgehobene Stacks und allgemeine Prüflücken. Die Überwachung ist kostenpflichtig. Bei jährlicher Zahlung sparen Sie 20%: ein Server kostet für ein Jahr $28,80 statt $36,00. Erste 5 Server: je $3,00 pro Monat; ab Server 6: $2,00; ab Server 26: $1,50.
Was wir prüfen
Derzeit: Betriebssystempakete, exakte Abhängigkeitsversionen und erkannte Produkte. Die Abdeckung hängt von Agentenrechten und verfügbaren Daten ab.
Node.js: npm (package-lock.json), Yarn v1 und Berry (yarn.lock), pnpm (pnpm-lock.yaml).
Python: poetry.lock, Pipfile.lock, uv.lock, requirements*.txt mit festen Versionen durch ==; installierte Pakete in gefundenen venv/site-packages.
Laufzeit- und Dienstversionen, die über den Produktkatalog erkannt werden.
Container-Images nach Name und Tag; die Image-Inhalte werden nicht untersucht und bleiben eine Prüflücke. Unbekannte Images und nicht festgelegte Tags müssen manuell geprüft werden.
Direkte und transitive Abhängigkeiten sind enthalten; Entwicklungsabhängigkeiten werden gekennzeichnet. Die Erfassung ist durch Rechte, Zeit sowie Datei- und Paketanzahl begrenzt. Ungenaue Versionen und erreichte Grenzen erscheinen als Prüflücken.
Als Nächstes geplant
Ruby: Gemfile.lock.
Go: go.sum und Build-Informationen aus Binärdateien.
Rust: Cargo.lock.
Java: Maven-/Gradle-Lockdateien und JAR-Manifeste.
Diese Ökosysteme werden noch nicht geprüft.
Eine alte Versionsnummer erzählt nicht die ganze Geschichte.
Ein Paket hat bereits eine Fehlerbehebung der Distribution. Ein anderes stammt aus einem PPA und ist durch die Prüfung gerutscht. Sie brauchen unterschiedliche Abgleichregeln.
Keine längst installierten Fehlerbehebungen mehr suchen
Ubuntu kann Fehlerbehebungen in ältere Versionszweige zurückportieren, ohne die Upstream-Version zu ändern. PatchFirst prüft Distributionspakete über OSV anhand von Quellpaket und Version, statt sich nur auf Upstream-Versionsbereiche zu verlassen.
Das verringert Fehlalarme durch Backports und lenkt den Blick auf tatsächlich nötige Updates.
Drittanbieterpakete im Blick behalten
PatchFirst erkennt Hinweise auf Drittanbieter-Repositories in Versionszeichenfolgen, nimmt diese Pakete vom Distributionsabgleich über OSV aus und prüft sie als Upstream-Software gegen CVE.org.
Ein realer Fall aus der PatchFirst-Entwicklung: RCE in PHP 8.3.35 aus dem sury-PPA, die OSV übersah. Distributionsmeldungen allein reichten nicht aus.
Bei aktuellen CVEs weist PatchFirst auch darauf hin, wenn die Distribution noch keinen OSV-Eintrag zum Paket veröffentlicht hat.
P0 bedeutet Risiko ≥14 oder einen KEV-Eintrag bei einer öffentlichen Komponente. Das Modell sieht einen Tag vor. P1 folgt mit einem Ziel von einer Woche. Jeder P0-Befund begrenzt die Gesamtbewertung auf 49.
P2 und P3 kommen in die Planung
P2 sieht einen Monat vor; P3 umfasst die übrigen Befunde. Der Bericht bewahrt die Details: Prioritäten ordnen die Arbeit, die konkrete Umsetzung entscheidet die Fachkraft.
Überwachung geht über die Paketliste hinaus.
Ein installiertes Update hilft nicht, solange noch der alte Kernel läuft. Und ein nicht festgelegter Image-Tag liefert keine verlässliche Version zum Prüfen.
Neuer Kernel installiert. Neustart noch offen?
PatchFirst analysiert den laufenden Kernel. Ist ein neuerer Kernel installiert, erscheint ein eigener Befund zum erforderlichen Neustart.
Datenbanken intern halten
Öffentlich erreichbare Datenbanken, Redis und Docker-API erscheinen als eigene Befunde. Portnummern bleiben auf dem Server des Eigentümers. Der Agent leitet die Erreichbarkeit aus Bind-Adressen und öffentlicher IP ab, ohne externe Verbindungsprobe.
Prüflücken bleiben sichtbar
Unbekannte Images und nicht festgelegte Tags wie latest oder 17 werden als Prüflücken gekennzeichnet.
Auch Anwendungsabhängigkeiten werden erfasst.
PatchFirst prüft composer.lock, npm/Yarn/pnpm und Python pip/poetry anhand exakter Versionen, einschließlich transitiver und Entwicklungsabhängigkeiten. Lockdatei-Kennungen identifizieren Projekte; Erfassungsgrenzen erscheinen als Prüflücken. Ruby, Go, Rust und Java werden noch nicht unterstützt.
Ohne Root-Rechte. Übertragene Daten selbst prüfen.
Der Agent besteht aus einer Datei: einer eigenständigen Binärdatei oder einer Python-Zipapp. Für die Überwachung richtet die Installation einen Benutzer-Cronjob ein, der alle 6 Stunden läuft.
Zuerst die Nutzdaten ansehen
Mit dry-run sehen Sie, was der Agent senden würde. Für eine kostenlose Prüfung können Sie anonymisiertes JSON erzeugen, prüfen und selbst auf der Prüfseite einfügen.
Python ist optional: Die Binärdatei enthält Namensverschlüsselung. Die Python-Variante benötigt python3-cryptography zur Namensverschlüsselung. Erfasst wird ein technisches Inventar ohne Zugriff auf Datenbankinhalte.
Vor dem Hochladen anonymisiert
Hosts werden zu UUIDs, IP-Adressen zu einem Kennzeichen für öffentliche Adressen. Pfade und private Namen werden zu HMAC-Kennungen. Bei aktivierter Namensverschlüsselung wird das Namensverzeichnis mit einem separaten Schlüssel verschlüsselt, den der Dienst nie erhält. Andernfalls sendet der Agent kein Verzeichnis.
Anonymisierte Inventare und Berichte werden für den Dienst lesbar in PostgreSQL gespeichert. Backups verwenden einen separaten Empfängerschlüssel. Mehr zur Datenverarbeitung →
Sie können Namen ungesetzt lassen: Die Übersicht zeigt dann „Server 01“. Alternativ können Sie einen Alias wie web-1 vergeben; er wird offen gespeichert. Geben Sie keine Domain, IP-Adresse, Firmen- oder Kundennamen ein. Aktivieren Sie zum Schutz die Namensverschlüsselung im Benutzerkonto: Ihr Browser verschiebt vorhandene Namen in ein verschlüsseltes Verzeichnis und der Dienst löscht die offenen Kopien.
Grenzen
Priorität ist eine Modellschätzung, keine Einbruchswahrscheinlichkeit. Quellen können fehlerhaft oder verzögert sein.
Prüfen Sie Befunde, Firewallregeln und Erreichbarkeit: Der Agent führt keine externe Verbindungsprobe durch.
Unerkannte Software ist eine Prüflücke. PatchFirst ersetzt weder Audit noch Penetrationstest.
Während der Analyse sieht PatchFirst Versionen und technische Details. Die Verbindungs-IP dient nur im Arbeitsspeicher dem Schutz vor Passwortangriffen und wird nicht aufbewahrt.
Berichte stehen in Ihrer Übersicht, ohne externe Benachrichtigungen. Zahlungen werden manuell über den dort angegebenen Kontakt vereinbart.
Mit einem Host beginnen
Erkennen, welche Komponenten Aufmerksamkeit brauchen.
Eine einmalige Prüfung ist kostenlos: Führen Sie einen Befehl für einen Berichtslink aus oder senden Sie anonymisiertes JSON. Der Bericht enthält eine Bewertung, Komponentennamen und installierte Versionen mit Hervorhebungen nach Schweregrad sowie allgemeine Prüflücken. Konkrete Schwachstellen und Patchprioritäten gehören zur bezahlten Überwachung. Laufende Überwachung ist kostenpflichtig. Bei jährlicher Zahlung sparen Sie 20%: ein Server kostet für ein Jahr $28,80 statt $36,00. Erste 5 Server: je $3,00 pro Monat; ab Server 6: $2,00; ab Server 26: $1,50.
