p PatchFirst

Безопасность начинается с приоритетов

Знайте, что обновить первым.

PatchFirst сопоставляет ПО вашего сервера с мировыми CVE и сигналами эксплуатации. Бесплатная проверка показывает рейтинг и подсвечивает стек без детализации. Конкретные уязвимости и порядок обновлений — в платном мониторинге.

Проверить сервер бесплатно →Как это работает ↓

Разовая проверка одного своего сервера. Мониторинг — платный. Годовая подписка дешевле на 20%: один сервер на год — $28,80 вместо $36,00. Первые 5 серверов — $3,00 за каждый в месяц; с 6-го сервера — $2,00; с 26-го сервера — $1,50.

Сервер передаёт сведения о компонентах на шкалу оценки, рядом — упорядоченные задачи.

Что проверяем

Сейчас — пакеты, точные версии зависимостей и распознанные продукты. Охват зависит от прав агента и доступных данных.

Сейчас

  • Пакеты ОС: Debian, Ubuntu, Alpine, RHEL-семейство (Rocky Linux, AlmaLinux), openSUSE и SLES.
  • PHP: composer.lock.
  • Node.js: npm (package-lock.json), Yarn v1 и Berry (yarn.lock), pnpm (pnpm-lock.yaml).
  • Python: poetry.lock, Pipfile.lock, uv.lock, requirements*.txt с точными версиями ==; установленные пакеты в найденных venv/site-packages.
  • Версии рантаймов и служб, распознанных по каталогу продуктов.
  • Образы контейнеров — по имени и тегу; содержимое образов не проверяется и остаётся слепой зоной. Неизвестные образы и плавающие теги требуют ручной проверки.

Прямые и транзитивные зависимости; dev-зависимости помечаются. Поиск ограничен правами доступа, временем и числом файлов и пакетов. Неточные версии и сработавшие ограничения отражаются в слепых зонах.

Скоро

  • Ruby: Gemfile.lock.
  • Go: go.sum и сведения о сборке бинарников.
  • Rust: Cargo.lock.
  • Java: lock-файлы Maven/Gradle и манифесты jar.

Эти экосистемы пока не проверяются.

Для кого

Одна проверка. Разные вопросы.

Выберите свою задачу — от технических деталей до разговора с подрядчиком.

Для DevOps и SRE →

Разобраться с шумом CVE, бэкпортами и реальными приоритетами.

От инвентаря
к понятным действиям.

Агент собирает данные на вашем сервере. PatchFirst видит, какие программы и версии у вас стоят, но не данные ваших приложений.

01 / ВАШ СЕРВЕР

Собрать и обезличить

Агент — один файл, работает без root. Python не обязателен. Он собирает версии ПО и признаки доступности сервисов. До отправки заменяет имена на UUID и HMAC-метки, а IP — на признак публичного адреса. При включённом шифровании имён словарь шифруется отдельно.

02 / СЕРВИС PatchFirst

Сопоставить с угрозами

CVE.org и OSV помогают найти известные уязвимости. CISA KEV, EPSS и сведения об эксплойтах добавляют контекст: где уже есть эксплуатация и насколько вероятна атака.

03 / ВАШ ОТЧЁТ

Выбрать следующий шаг

Риск учитывает тяжесть, эксплуатируемость и доступность компонента. Бесплатно вы получаете рейтинг от 0 до 100, стек с подсветкой и общие слепые зоны. В платном мониторинге приоритеты P0–P3 и детали находок помогают выбрать обновления.

Ваши имена
остаются вашими.

Обезличивание прячет имена и адреса, но список программ с версиями всё равно чувствителен. Вот где проходит граница.

Что видит сервис

Версии ОС и пакетов, распознанные публичные образы, сведения о запущенных компонентах, типах служб и предполагаемой доступности. Хосты представлены UUID, скрытые значения — метками.

Этого достаточно, чтобы сопоставлять ПО с CVE. Сервис хранит обезличенные инвентари и отчёты в читаемом виде в PostgreSQL, чтобы искать по ним и пересчитывать находки при обновлении сведений об уязвимостях.

Что не передаёт агент

Прямые IP, исходные имена хостов, пути, номера портов и скрываемые частные названия. Без шифрования имён агент не отправляет словарь имён. При включённом шифровании словарь соответствий имён передаётся отдельно в зашифрованном виде; ключ просмотра сервису не передаётся.

Шифрование имён включается по желанию: пароль имён отдельный от пароля входа. Расшифровка происходит в браузере владельца. IP соединения используется только в памяти для защиты от перебора и не сохраняется.

Копия базы раскрывает обезличенный технический стек. Сервис читает его для поиска и пересчёта, а взлом браузера или сервера владельца может раскрыть имена и ключи. Подробнее о данных и ограничениях →

Имена можно не задавать: в кабинете останется «Сервер 01». Для удобства можно указать условное имя, например web-1: оно хранится открыто. Не пишите домен, IP-адрес, название компании или клиента. Если нужна защита, включите шифрование имён в разделе «Аккаунт»: браузер перенесёт заданные имена в зашифрованный словарь, а открытые копии удалятся с сервиса.

Рейтинг — ориентир.
Решение — за вами.

PatchFirst помогает следить за известными проблемами. Он не заменяет аудит, пентест или проверку настроек и бизнес-логики приложения.

Контекст важнее цифры

Уязвимость в доступном извне сервисе обычно важнее той же уязвимости в локальном компоненте. Доступность оценивается по собранным признакам и может отличаться от реальной.

Версия — не весь ответ

Для пакетов дистрибутива учитываются исправления через OSV, включая бэкпорты. Но ошибки сопоставления и задержки в источниках возможны. Проверяйте находки перед изменениями.

Слепые зоны видны

Неизвестный образ или плавающий тег не дают надёжной версии. Такие компоненты требуют ручной проверки. Высокий рейтинг не исключает неизвестные уязвимости и пропущенные компоненты.

Один сервер или весь парк.

Начните с разового снимка. Чтобы следить за изменениями, поставьте агента — он присылает инвентарь сам.

Разовая проверка

Один сервер

Бесплатно

Запустите команду или вставьте обезличенный JSON. Бесплатно — рейтинг, затронутые стеки, число находок и признаки риска, общие слепые зоны. Имена компонентов, версии и CVE не раскрываются.

Проверить свой сервер →

Ссылка открывает отчёт 7 дней. Сервер хранит его зашифрованным, а сам ключ — нет: он только в ссылке.

Постоянный мониторинг

По числу серверов

Годовая подписка дешевле на 20%: один сервер на год — $28,80 вместо $36,00.

Месяц тарифа — 30 дней
Серверы по порядкуЗа сервер / месяц
1–5$3,00
6–25$2,00
26+$1,50

Каждая ставка применяется только к серверам своей ступени, суммы ступеней складываются. Например, 10 серверов — 5 × $3,00 + 5 × $2,00 = $25,00 в месяц.

За первую оплату приглашённого — +1 серверо-месяц пригласившему. Бонус действует 12 месяцев; условия — в соглашении.

Агент присылает инвентарь раз в 6 часов, базы уязвимостей обновляются каждые несколько часов. В кабинете — подробные находки и что обновить первым; в платном мониторинге можно включить вебхуки в разделе «Оповещения».

Подключить мониторинг →

Годовая подписка дешевле на 20%: один сервер на год — $28,80 вместо $36,00. Первые 5 серверов — $3,00 за каждый в месяц; с 6-го сервера — $2,00; с 26-го сервера — $1,50. Оплата из кабинета — через доступные Paddle, ЮKassa и CoinsSend. В CoinsSend доступны USDT, BTC, ETH, TON, USDC и другие монеты; монету и сеть выбираете на его странице, комиссию сети оплачиваете вы. Автоматического списания нет.

Скачать пример отчёта (PDF)

До первой проверки

Вопросы по делу.

PatchFirst проверит npm, pip и poetry?

Да: PHP-пакеты из composer.lock, зависимости Node.js из npm, Yarn и pnpm, Python-пакеты pip и poetry — при наличии точных версий. Проверяются прямые и транзитивные зависимости; dev-зависимости остаются в отчёте с пометкой. Ruby, Go, Rust и Java пока не поддерживаются.

Для Node.js агент читает package-lock.json, yarn.lock и pnpm-lock.yaml; для Python — poetry.lock, Pipfile.lock, uv.lock, строки requirements*.txt с == и метаданные установленных пакетов в найденных venv/site-packages. Неуказанные и плавающие версии не проверяются. Поиск ограничен правами доступа, временем и числом файлов и пакетов; сработавшие ограничения видны в слепых зонах.

PatchFirst сканирует чужие серверы?

Нет. PatchFirst ничего не сканирует снаружи: агент читает пакеты и слушающие службы только на том сервере, где его запустили. Ставьте его на свои серверы или с разрешения владельца.

Как считается рейтинг?

Каждая находка получает риск с учётом тяжести, признаков эксплуатации и доступности. Риски определяют приоритеты P0–P3 и штрафы к рейтингу от 100. P0 ограничивает итоговый балл значением 49. Это модель приоритизации, а не вероятность взлома.

Что значит «обезличенный»?

Имена и адреса заменяются до отправки. Версии ПО и технические признаки остаются: без них нельзя найти уязвимости. Их сочетание может быть узнаваемым, поэтому обезличивание не обещает полной анонимности.

Можно ли увидеть, что отправит агент?

Да. Режим dry-run позволяет посмотреть данные перед отправкой. Для разовой проверки вариант с JSON даёт возможность сначала просмотреть обезличенный инвентарь и затем вставить его на странице.

Нужны ли для аккаунта персональные данные?

Нет. Вход — по вымышленному логину и паролю, без имени, почты или телефона. Сохраните код восстановления: только он позволяет сбросить забытый пароль входа. Потеря пароля и кода означает потерю доступа.

При оплате площадке передаются номер заказа и сумма, без логина или данных плательщика. CoinsSend — кастодиальный сервис; AML-проверки проходят на его стороне. Обращение к оператору раскрывает адрес отправителя. Сведения о площадках и сроки удаления переписки описаны в политике приватности.

Что будет, если забыть пароль имён?

Если вы включили шифрование имён, сервис не знает этот пароль и не может восстановить имена. Потребуется сбросить словари имён и настроить агентов заново. Пароль входа и пароль имён решают разные задачи.

Если находок нет, сервер безопасен?

Нет такого вывода. Источники могут запаздывать, часть ПО может остаться нераспознанной, а настройки и ошибки приложения не покрываются анализом версий. PatchFirst не гарантирует полноту и точность; ответственность за обновления остаётся у владельца. Условия сервиса.