"Siamo interessati?" Hai già la risposta.

Un difetto critico si presenta al mattino, è ovunque nei feed e la domanda arriva prima di mezzogiorno. Alla tua scrivania l'avviso è scattato prima della domanda, perché il tuo Monitoraggio CVE solo tracce le versioni effettivamente eseguite, dichiarati una volta a mano, da un SBOM o da un URL. Nove feed riletti in continuo, tra cui il catalogo KEV della CISA e gli avvisi del CERT-FR. E l'ordine di correzione è già stabilito: osservato per primo lo sfruttamento, probabilità su 30 giorni successivi, gravità ultima.

Crea un account gratuito Guarda come funziona

Elaborazione < 30 s 360.000 indicizzato CVEs Costruito e ospitato in Francia

Piano Free, nessuna carta di credito Subresponsabili pubblicati Esporta i tuoi dati in qualsiasi momento

Integrazioni

Slack Microsoft Teams Discord Email Notifiche nell'app HTTPWebhooks API REST

Piattaforma

Tre orologi da tenere. Uno da leggere.

Nove feed di vulnerabilità alimentano i vostri avvisi: CVE List, NVD, il catalogo KEV della CISA, l'EPSS, PoC-in-GitHub, GHSA, OSV, gli avvisi e gli allarmi del CERT-FR e la base europea EUVD. Dodici fonti editoriali alimentano il brief quotidiano. Voi tenete aperta una scheda; noi teniamo aperte le altre. Come viene costruito un ambito di monitoraggio CVE.

01 · Rilevazione Scansione

Ogni CVE ha passato al setaccio il tuo stack.

Nessun rumore. Il nostro motore confronta le tue tecnologie e le loro versioni, in base all'identificatore CPE (Common Platform Enumeration, lo schema di denominazione che identifica un prodotto e la sua versione), contro 360.000 record CVE indicizzati, identificatori riservati e rifiutati inclusi. Passa solo ciò che tocca i componenti dichiarati.

CVEs critico che influenza il tuo stack di 1.842 pubblicati negli ultimi 30 giorni · rapporto segnale 0,38%

Il tuo stack · 51 componenti

php 8.1.28

nginx 1.24.0

postgresql 16.2

ubuntu 22.04

node 20.10

redis 7.2.3

elasticsearch 8.11

docker 24.0.7

kubernetes 1.28.4

openssl 3.2.1

mysql 8.0.35

apache 2.4.58

+ altri 39

7 partite critiche

9.8 CVE-2026-1847 KEV

OpenSSL: RCE tramite analisi del certificato

Exploit pubblico · toppa disponibile

9.1 CVE-2026-1801 KEV

Apache 2.4: SSRF in mod_proxy

Sfruttato attivamente · toppa disponibile

8.1 CVE-2026-1798

PostgreSQL 16: escalation dei privilegi

EPSS 0.82 · toppa disponibile

7.8 CVE-2026-1712

nginx 1.24: overflow del buffer HTTP/3

Mitigazione: disabilitare HTTP/3

7.5 CVE-2026-1689

Node.js 20: prototipo di inquinamento

EPSS 0.44 · toppa disponibile

02 · Anticipazione endoflife.date

Nessuna data di fine del supporto ti coglie di sorpresa.

Avvisi a D-90, D-30 e D-7 per ogni componente del tuo stack.

giorni

PHP 8.1

Fine del supporto di sicurezza

31 dicembre 2026

D-94CentOS 7Sistema operativo del server

D-218Ubuntu 20.04LTS standard

D-412Node 18 LTSRuntime

D-548MySQL 5.7Banca dati

03 · Riepilogo Ogni mattina alle 8:00

Un brief quotidiano, non un flusso RSS.

Chiamiamo questo breve Patchwork: un'e-mail delle 8 del mattino che riassume ciò che le nostre 12 fonti editoriali hanno pubblicato il giorno prima, filtrato nel tuo stack. Due minuti di lettura invece di dodici schede.

Patchwork · il tuo brief quotidiano

Il tuo brief per martedì 14 aprile

3 CVEs critici sulla tua pila

PHP 8.1: fine del supporto tra 62 giorni

CERT-FR segnala 2 campagne attive

Fortinet pubblica 3 avvisi principali

5 patch minori disponibili

2 minuti di lettura Breve esempio

Una giornata nella vita di un CVE

Dalla pubblicazione al tuo canale: meno di 30 secondi di elaborazione.

Due ritardi, da non confondere. Il sincronizzazione: rileggiamo CVE List, KEV e EPSS continuamente, a cicli di pochi minuti. Il elaborazione: una volta che l'CVE viene visto, abbinarlo al tuo stack, assegnargli la priorità e avvisarti richiede meno di 30 secondi. Nessuno può essere più veloce del proprio intervallo di polling; preferiremmo scriverlo.

T+0

Pubblicazione CVE

Rilevata durante un ciclo di sincronizzazione su CVE List v5, il catalogo KEV della CISA o l'EPSS di FIRST.org.

T+15s

Corrispondenza contro il tuo stack

Corrispondenza fornitore/prodotto/versione CPE con i componenti dichiarati, quindi un filtro di gravità minima.

T+20s

Priorità

Tre segnali, in questo ordine: l'CVE è già sfruttato (KEV)? quanto è probabile lo sfruttamento entro 30 giorni (EPSS)? quanti danni se accade (CVSS)?

T+30s

Notifica multicanale

Slack, Teams, e-mail, webhook. Flusso di lavoro: PENDING → ANALYZING → FIXING → RESOLVED.

Flussi di lavoro

Ciò che ripeti ad ogni avviso, scrivilo una volta.

Scegli un trigger, aggiungi le tue condizioni, collega le tue azioni. Dall'CVE rilevato alla squadra notificata, automaticamente, senza scrivere una riga di codice.

Redattore visivo

Dal trigger all'azione, su una tela.

Costruisci le tue automazioni su una tela: ogni flusso di lavoro inizia da un evento, filtra in base alle condizioni, quindi esegue azioni sui tuoi canali.

✓CVE, EOL e trigger del certificato nuovo CVE, aggiornamento, PoC, KEV, fine del supporto…
✓Condizioni componibili gravità, CVSS, EPSS, KEV, prodotto, fornitore
✓Azioni multicanale Slack, Teams, e-mail, webhook, custodia
✓Prova a secco simulare su un CVE reale prima dell'attivazione

Flusso di lavoro · Avvisi critici

Nuovo CVE nel tuo stacktrigger.cve_new_match Innesco

Punteggio CVSS ≥ 9,0condition.cvss Condizione

Elencato nel catalogo KEVcondition.is_kev Condizione

Avvisare Slack / Teamsaction.fire_webhooks Azione

Crea un casoaction.create_case Azione

Assistente AI

Progetto: Nucleo produttivo

Come posso aiutare?

Conosco lo stack, gli avvisi e il monitoraggio della fine del supporto del tuo progetto attuale.

Qual è l'CVE più serio nella mia tenuta?

Quale degli avvisi di questa settimana devo gestire per primo?

Quali prodotti raggiungeranno la fine del supporto questo trimestre?

Le tue conversazioni rimangono nel tuo spazio di lavoro. Vigie vede solo i dati tecnici del progetto selezionato.

Qual è l'CVE più serio nella mia tenuta?

Assistente AI

CVE-2026-1847 è la priorità per la tua tenuta in questo momento: CVSS 9.8, sfruttamento confermato.

Perché viene prima

Aggiunto al catalogo KEV il 12 marzo: viene sfruttato allo stato selvatico, non semplicemente classificato come grave.

EPSS al 97%, il punteggio più alto tra le tue 214 vulnerabilità aperte.

12 dei tuoi server sono in esecuzione OpenSSL 3.2.1; la versione fissa è 3.2.2.

Il fornitore ha pubblicato la correzione. Posso predisporre il tracciamento della bonifica; nulla viene applicato senza la tua approvazione.

CVE-2026-1847 Critico 12 marzo 2026 KEV Pubblico PoC

OpenSSL · OpenSSL 3.2.1

Overflow del buffer nella gestione dell'estensione TLS, consentendo l'esecuzione di codice remoto non autenticato.

CVSS 9.8EPSS 97 %12 beni

Fai una domanda sul tuo patrimonio

Le risposte possono contenere errori. Controlla qualsiasi cosa importante.

Assistente AI

247 CVEs pubblicato da ieri sera. Vigie te ne indica uno.

Una domanda in un linguaggio semplice, una risposta sul TUO inventario: le tue versioni, i tuoi avvisi, le scadenze di fine supporto. Il tono di un analista, 250 parole al massimo, e ogni CVE citato viene confrontato con il database prima di essere mostrato.

Comprende le tue vulnerabilitàSpiega ogni CVE (CVSS, EPSS, KEV, PoC) e cosa risolvere prima.

Conosce il tuo contestoLegge il tuo stack, i tuoi avvisi, le scadenze EOL e i feed dalle fonti che segui.

Non inventa nullaOgni identificatore citato viene riletto dal database: se non esiste, non viene mostrata alcuna carta.

Propone, approviAggiornamento di una versione, monitoraggio della fine del supporto: Vigie prepara l'azione, tu confermi con un clic.

Costruito e ospitato in Francia · capisci EPSS in cinque minuti

Capire

Quattro concetti, venti minuti. Abbastanza per difendere una chiamata prioritaria in una riunione.

Non vendi uno strumento di definizione delle priorità a qualcuno a cui non hai mai spiegato la definizione delle priorità. Queste quattro guide si leggono in questo ordine; sono gratuiti, non richiedono registrazione e non contengono una parola di copia di vendita.

1. CVE, l'identificatore

Da cosa è esattamente designato CVE-2021-44228, chi assegna quel numero e perché due strumenti possono descrivere lo stesso difetto in modo diverso.

Cos'è veramente un CVE

2. CVSS, la gravità

Come leggere un vettore campo per campo e perché un 9.8 non è un'istruzione prioritaria ma una misura del danno potenziale.

Come leggere un vettore CVSS

3. EPSS, la probabilità

Cosa significa un punteggio di 0,92, perché viene ricalcolato ogni mattina e cosa non prevede assolutamente.

Come EPSS stima il rischio

4. KEV, il fatto osservato

Il catalogo di CISA non prevede nulla: elenca i difetti di cui è stato osservato lo sfruttamento. È il segnale più difficile dei quattro.

Cosa richiede il catalogo KEV

Piani API v1 · Pro e Business

API REST CVE: il monitoraggio si sposta nella pipeline di distribuzione.

Venti endpoint REST documentati: leggi i tuoi avvisi, interroga il database CVE, visualizza il tuo inventario, blocca una distribuzione quando un CVE critico non è stato gestito. L'API è incluso nei piani Pro e Business. Autenticazione della portante, quote per piano, esempi in curl, Python, JavaScript e GitHub Actions.

Collega TechWatchAlert alla pipeline di consegna.

Recupera i tuoi avvisi, interroga il database CVE, leggi la tua lista di controllo, casi e statistiche. L'intero monitoraggio è disponibile in sola lettura tramite API (GET), per bloccare una distribuzione su un CVE critico.

✓Autent. al portatore chiavi revocabili, formato twa_…
✓Sola lettura (GET) 5.000 chiamate all'ora su Pro, nessuna quota oraria su Business
✓Documenti Starlight esempi di curl, Python, JS, GitHub Actions
✓Webhook in uscita Firme HMAC, tentativi esponenziali

Inizia in tre passaggi Riferimento API

cURL
Python
JavaScript
GitHub Actions
Copia
# Recupera gli avvisi critici di un progetto
curl "https://app.techwatchalert.com/api/v1/organizations/org_x7y8/projects/prj_a1b2/alerts?severity=critical&status=pending" \
  -H "Authorization: Bearer twa_xK9...f2q" \
  -H "Accept: application/json"

Risposta #
{
  "items": [{
    "cve_id": "CVE-2026-1847",
    "severity": "CRITICAL",
    "cvss_score": 9.8,
    "epss_percentile": 0.97,
    "is_kev": true,
    "has_poc": true,
    "status": "PENDING"
  }],
  "total": 3, "page": 1
}
import httpx

client = httpx.Client(
    base_url="https://app.techwatchalert.com/api/v1",
    headers={"Authorization": f"Bearer {API_KEY}"}
)

# Elenca lo stack monitorato di un progetto
r = client.get(
    f"/organizations/{org_id}/projects/{project_id}/stack"
)

for tech in r.json()["items"]:
    print(f"{tech['vendor']}/{tech['product']}")
// Cerca CVEs per fornitore + gravità
const res = await fetch(
  'https://app.techwatchalert.com/api/v1/cves?' +
  new URLSearchParams({
    vendor: 'nginx',
    severity: 'critical,high',
    is_kev: true
  }),
  {
    headers: {
      'Authorization': `Bearer ${apiKey}`
    }
  }
);

const { items, total } = await res.json();
console.log("Vulnerabilità attive ${total} su nginx".);
# .github/workflows/security-gate.yml
name: Security Gate

on: [push, pull_request]

jobs:
  check-cves:
    runs-on: ubuntu-latest
    steps:
      - name: Block on critical CVEs
        run: |
          COUNT=$(curl -s \
            -H "Authorization: Bearer ${{ secrets.TWA_KEY }}" \
            "$TWA_URL/organizations/$ORG/projects/$PRJ/alerts?severity=critical&status=pending" \
            | jq '.total')
          if [ "$COUNT" -gt "0" ]; then
            echo "❌ $COUNT CVE critici irrisolti"
            exit 1
          fi

360K

record CVE indicizzati, l'intero programma dal 1999, identificativi riservati e rifiutati inclusi

le vulnerabilità vengono confrontate tra loro, perché nessuna è completa da sola

fonti editoriali per il brief quotidiano. Non attivano mai un avviso

100%

dell'infrastruttura in Francia: applicazione, database CVE e i vostri inventari

Prezzi

Prezzi del monitoraggio della sicurezza informatica: semplice, trasparente, senza sorprese.

Quattro piani, dall'orologio di una persona alla squadra che deve dimostrare ciò che risolve. Gli avvisi CVE non vengono mai fatturati a volume: ciò che cambia è il numero di componenti tracciati, la dimensione del team e le funzionalità. I prezzi non includono l'IVA, che viene aggiunta al momento del pagamento in base al Paese. Consulta la tabella dei prezzi completa.

Free

0 € senza limiti di tempo

Per iniziare. Un progetto monitorato, nessuna carta di credito.

Inizia gratuitamente

✓1 progetto
✓3 componenti tracciati
✓1 webhook di avvisi
✓1 applicazione SBOM
✓5 tracciamenti di fine vita
✓Avvisi e-mail
✓Riepilogo dell'orologio quotidiano

Team

49 € escl. imposta/mese

Controllo delle vulnerabilità per i team. Ordina gli avvisi insieme e tieni un registro.

Scegli Team →

✓5 progetti · 10 membri
✓200 componenti tracciati
✓Casi di riparazione Biglietti Jira, GitLab, GitHub
✓Rapporti PDF 12 mesi di storia
✓Slack, Teams, webhook firmati

Pro Consigliato

99 € escl. imposta/mese

Guarda + prove NIS2. Mostra come gestisci le tue vulnerabilità.

Scegli Pro →

✓Tutto in Team, senza limiti di progetti o membri
✓Modulo NIS2 scadenze di bonifica, rischi accettati, incidenti, report di gestione
✓Connettori di inventario GLPI e Intune
✓API REST v1 5.000 chiamate all'ora
✓Registro di controllo conservato per 1 anno

Business

da 249 € escl. imposta/mese

SSO, audit, appalti. Oltre a ciò, su preventivo.

Scegli Business →

✓Tutto in Pro, più:
✓Accesso singolo OIDC con domini verificati
✓Registro di controllo conservato per 5 anni
✓Onboarding guidato supporto e-mail prioritario
✓Ordine d'acquisto siglato DPA, Chorus Pro su richiesta

Nessun impegno, modifica i piani in qualsiasi momento, ripartito proporzionalmente al cambio. I prezzi escludono l'IVA. Fornitore di servizi gestiti? Il piano Partner viene fatturato per cliente. Prima di scegliere, confrontare: cinque strumenti concorrenti, i nostri criteri, le nostre date di verifica.

Confronta

Sei strumenti, stessi criteri per tutti. Qui è dove usciamo avanti.

OpenCVE ha bisogno di un server. Abbiamo bisogno di un indirizzo email.

È un software da distribuire, aggiornare e monitorare. Abbiamo calcolato quanto costa realmente l'hosting autonomo, ore di progettazione incluse.

Il confronto OpenCVE, con i numeri

Cyberwatch scansiona la rete. Partiamo dal tuo inventario.

Uno scanner attivo significa un agente da installare, l'accesso alla rete da ottenere e una finestra di scansione da negoziare. Qui dichiari i tuoi componenti e il primo avviso verrà emesso alla successiva sincronizzazione.

Il confronto tra Cyberwatch

Su CVEDetails, cerchi. Ecco, l'avviso ti trova.

Un database di ricerca attende la tua query, in inglese. Partiamo dalle versioni da voi dichiarate e vi scriviamo, nella vostra lingua, quando una di esse viene colpita.

Il confronto CVEDetails

Tutti e sei gli strumenti fianco a fianco, criteri identici

Targeting dello stack, definizione delle priorità, aggiornamento dei dati, prezzi reali, hosting. Metodo e data di verifica mostrati, incluso il punto in cui un concorrente ci precede.

Il confronto completo del 2026

Sicurezza e sovranità

Il tuo inventario è una mappa del tuo sistema informativo. Lo custodiamo come uno.

Chi esegue cosa, in quale versione, con quali difetti ancora aperti: questa è la prima cosa che un aggressore cerca di ricostruire. Hosting in Francia, crittografia AES-256 at rest, TLS 1.3 in transito, autenticazione a due fattori, registro di controllo delle azioni sensibili. I dettagli, subresponsabili compresi, sono sul ns Pagina di sicurezza.

Autenticazione a due fattori TOTP

Compatibile con Google Authenticator, Authy, 1Password, RFC 6238.

Crittografia AES-256

A riposo e TLS 1.3 in transito. JWT + token di aggiornamento di breve durata in Redis.

Ospitato in Francia

Applicazione, database CVE e inventari nella regione parigina, con OVHcloud. I nostri subresponsabili e le loro garanzie sono pubblicati nella pagina Sicurezza.

Registro di controllo

Azioni sensibili registrate: attore, entità, dettagli JSON, timestamp.

Limitazione della velocità nativa

10 tentativi/60 s per IP. Avvisi automatici se viene rilevata forza bruta.

Rete isolata

Servizi dati su una rete privata. Solo il frontend e API sono esposti su HTTPS.

DPA disponibile

Accordo sul trattamento dei dati (DPA) su richiesta da Team in su, firmato con Business. Esportazione completa dei tuoi dati in qualsiasi momento, senza chiedercelo.

Disponibilità: obiettivo del 99,5%.

Obiettivo mensile scritto nel Condizioni d'uso, articolo 11.1. Si tratta di un obiettivo pubblicato, non di un impegno accompagnato da sanzioni.

FAQ

Le domande che continuano a sorgere.

Se il tuo non è qui, chiedici: rispondiamo entro 24 ore lavorative.

Come fai a sapere quale CVEs mi riguarda?

Dichiari i tuoi componenti (sistemi operativi, dispositivi, framework, librerie) manualmente, importando un CycloneDX o SPDX SBOM o tramite rilevamento da un URL pubblico. Ogni CVE pubblicato viene abbinato a tale inventario tramite l'identificatore CPE (fornitore, prodotto, versione). Un CVE che non tocca nessuno dei tuoi componenti non ti verrà mai inviato.

Quanto velocemente mi viene detto?

Due ritardi, da non confondere. Rileggiamo i feed continuamente, a cicli di pochi minuti: questa è la sincronizzazione. Una volta rilevato l'CVE, la corrispondenza, l'assegnazione delle priorità e la notifica richiedono meno di 30 secondi: questa è l'elaborazione. Nessuno può essere più veloce del proprio intervallo di polling, e preferiremmo scriverlo piuttosto che pubblicare una cifra che la nostra documentazione contraddice.

Quali fonti alimentano i tuoi avvisi?

Nove feed di vulnerabilità: CVE List, NVD, il catalogo KEV della CISA (Known Exploited Vulnerabilities, le falle di cui è stato osservato lo sfruttamento), l'EPSS di FIRST.org, PoC-in-GitHub, GHSA, OSV, gli avvisi e gli allarmi del CERT-FR e la base europea EUVD dell'ENISA. A parte, dodici fonti editoriali (il feed del CERT-FR, i blog dei fornitori, la stampa specializzata) alimentano il brief quotidiano. Non generano alcun avviso. Il dettaglio è nella pagina delle fonti di dati.

Un CVSS 9.8 dovrebbe essere riparato prima di un 7.5?

Non necessariamente, e questa è la trappola più comune. CVSS misura il danno potenziale, non la probabilità di attacco. Gli CVEs più critici non vengono mai sfruttati. Osserviamo prima se l'CVE è nel catalogo KEV (sfruttamento osservato), poi il suo punteggio EPSS (probabilità di sfruttamento entro 30 giorni) e solo successivamente CVSS.

I miei dati di inventario sono riservati?

Il tuo inventario ha esattamente uno scopo: filtrare il feed CVE. Non viene rivenduto, non viene utilizzato per addestrare un modello, non viene condiviso con terzi. Hosting nella regione di Parigi, crittografia AES-256 a riposo, TLS 1.3 in transito. I nostri subresponsabili del trattamento, tre dei quali hanno sede al di fuori dell'Unione Europea, sono elencati con le loro garanzie nella pagina Sicurezza. Su richiesta è possibile firmare un accordo sul trattamento dei dati (DPA).

Posso provare senza carta di credito?

Sì. Il piano Free non richiede alcun metodo di pagamento: è sufficiente un indirizzo email. Copre un progetto, 3 elementi di stack, 1 webhook di avvisi, 1 applicazione SBOM, con notifiche via email. Questo è sufficiente per vedere se il filtraggio funziona con il tuo stack.

Cosa è incluso nell'API?

API è incluso nei piani Pro e Business: avvisi, database CVE, inventario, casi, statistiche, sola lettura (endpoint GET). Pro consente 5.000 chiamate all'ora, Business non ha una quota oraria. Autenticazione al portatore con chiavi revocabili. Dal piano Team in poi, gli avvisi possono essere inviati anche ai webhook firmati Slack, Teams e HMAC.

E se voglio partire?

Puoi esportare i tuoi dati in qualsiasi momento, senza chiedercelo e senza alcun costo: inventario, avvisi, casi, registro di controllo. Le modifiche al piano funzionano in entrambe le direzioni, proporzionalmente. Quando si passa ad un piano inferiore non viene eliminato nulla: solo le funzionalità del piano superiore smettono di essere disponibili.

Piano Free, nessuna carta di credito

Riceverai il prossimo CVE che ti riguarda.

Due minuti per dichiarare i tuoi componenti. Dopodiché leggiamo gli altri quarantamila.

Ospitato in Francia · subresponsabili pubblicati · esportare i tuoi dati in qualsiasi momento