Windows
Aggiornamenti di sicurezza, critici, cumulativi e driver tramite Windows Update; browser, strumenti e applicazioni aziendali tramite winget.
Windows Updatewinget
Incluso in TeamDalla CVE alla patch installata, senza cambiare strumento →
Correggi prima ciò che è sfruttato.
L'agente TechWatchAlert installa gli aggiornamenti di Windows, Linux e macOS, di sistema e software di terze parti. Ogni patch riporta le CVE che chiude: quelle delle vulnerabilità sfruttate passano davanti, il resto segue le tue approvazioni, i tuoi anelli e le tue finestre di manutenzione.
Prova di Team per 14 giorni senza carta di credito · agente per Windows, Linux e macOS · ospitato in Francia
Aggiornamenti
Gli aggiornamenti mancanti sulle macchine con l'agente, dal più urgente al meno urgente: decidete, poi distribuite.ApprovaDistribuisci ora…
TuttiDa decidereApprovatoRifiutato
| Aggiornamento | Categoria | Macchine | CVE | Pubblicato | Riavvio | Decisione | |
|---|---|---|---|---|---|---|---|
| Aggiornamento cumulativo per Windows 11 24H2 (KB5066835)Windows Update · riavvio | Sicurezza | 38 | CVE-2025-59230 +5 | 14 ott | ⟳ | Approvato | |
| Google Chrome 140.0.7339.185winget · 139.0.7258.155 → 140.0.7339.185 | Software | 52 | CVE-2025-10585 | 17 ott | — | Approvato | |
 macOS Sequoia 15.6.1Apple Software Update | Sicurezza | 11 | CVE-2025-43300 | 20 ott | ⟳ | Da decidere | |
 opensslAPT · 3.0.13-0ubuntu3.6 | Sicurezza | 17 | CVE-2025-9230 +2 | 23 ott | — | Approvato Trattenuto fino al 30 ott | |
| 7-Zip 25.01winget · 24.08 → 25.01 | Software | 9 | CVE-2025-0411 | 9 ott | — | Da decidere | |
| Intel Display 32.0.101.6078Windows Update | Driver | 6 | — | 2 ott | ⟳ | Rifiutato |
6 aggiornamenti, dal più urgente al meno urgente
Sistema e software di terze parti, su tutti e tre i sistemi
Un solo agente, per x64 e ARM, che legge e installa ciò che propongono i gestori nativi di ogni macchina. Nessun WSUS da mantenere, nessun repository da ospitare.
Linux
Tutti i pacchetti della distribuzione, con la versione installata e quella che corregge.
APTDNFYUMZypper
macOS
Aggiornamenti di sistema tramite Apple Software Update, e software installati con Homebrew.
Apple Software UpdateHomebrew
Due strumenti, e un vuoto nel mezzo
Lo scanner sa cosa è vulnerabile. Lo strumento di patch sa installare. Nel mezzo, qualcuno ricopia elenchi a mano, e le vulnerabilità sfruttate aspettano il prossimo Patch Tuesday come tutte le altre.
Lo scanner
Trova, senza correggere
Migliaia di righe di CVE, esportate in un foglio di calcolo e poi passate al team che applica le patch. Il giorno in cui la vulnerabilità viene sfruttata, nessuno sa se la patch è partita.
Lo strumento di patch
Corregge tutto, senza priorità
Tutto parte allo stesso ritmo, di solito mensile. Non sa quale aggiornamento chiude una vulnerabilità sfruttata stamattina, né quale può aspettare.
TechWatchAlert
Corregge prima ciò che è sfruttato
La stessa piattaforma associa le CVE alle tue macchine, sa quali sono sfruttate e installa la patch. Dall'avviso, con un clic, e con la prova.
Progettato per correggere in fretta senza rompere nulla
Le patch più recenti aspettano qualche giorno; quelle che chiudono una vulnerabilità sfruttata partono subito.
Fonti di aggiornamento
8Windows Update, winget, APT, DNF, YUM, Zypper, Apple Software Update, Homebrew
Agente
Windows, Linux e macOS, x64 e ARM
Periodo di differimento
7 gcome impostazione predefinita, e 0 per la patch di una vulnerabilità sfruttata
Porte aperte sulla macchina
0l'agente contatta la piattaforma in HTTPS, mai il contrario
Quattro passaggi, nessun server da installare
La console è da noi, l'agente da te. Il parco parte in modalità osservazione: nessuna politica pianificata parte finché non lo decidi tu.
Installa l'agente
Un comando per sistema, oppure gli script forniti per Datto, NinjaOne, ConnectWise Automate, N-able e Atera. Un token di registrazione può assegnare le macchine a un gruppo ed etichettarle.
Guarda cosa manca
Ogni macchina viene analizzata periodicamente, e su richiesta. Gli aggiornamenti mancanti compaiono con le loro CVE, la loro dimensione e il riavvio che richiedono.
Decidi
Approva o rifiuta per tutto il progetto, con una motivazione. Le approvazioni di sicurezza in sospeso si gestiscono anche dallo smartphone.
Distribuisci e conserva la prova
Subito, più tardi o tramite una politica pianificata. Ogni attività, ogni errore e ogni decisione restano nel registro.
Tutto ciò che serve per correggere senza rompere
Le protezioni di uno strumento di patch aziendale, regolate sulla conoscenza di ciò che viene davvero sfruttato.
Dall'avviso alla patch
Una vulnerabilità sfruttata? La patch parte dal suo fascicolo
Nella scheda di ogni avviso, TechWatchAlert elenca gli aggiornamenti che correggono la CVE e le macchine su cui mancano ancora. Un clic, una finestra di manutenzione, e la distribuzione è avviata.
- Il pulsante «Distribuisci con l'agente» su ogni avviso interessato
- Le macchine ancora esposte, contate una per una
- Ogni distribuzione scritta nel registro di audit
CVE-2025-59230
Windows Remote Access Connection Manager · elevazione dei privilegiKEV Da correggere entro 3 giorni In correzione
Distribuisci con l'agente
2 aggiornamenti correggono questa vulnerabilità, in attesa su 7 macchine.
| Aggiornamento cumulativo per Windows 11 24H2 (KB5066835) | 5 macchine |
| Aggiornamento cumulativo per Windows Server 2022 (KB5066782) | 2 macchine |
Quando
OraPiù tardi
Finestra di manutenzione
4 h
Distribuisci su 7 macchine
Periodo di differimento
Le patch troppo fresche aspettano. Quelle delle vulnerabilità sfruttate no
Un aggiornamento pubblicato da meno di sette giorni viene trattenuto: il tempo che le regressioni emergano altrove, non da te. Se chiude una CVE inserita nel catalogo KEV di CISA o di VulnCheck, o di cui il CERT-FR segnala lo sfruttamento, parte subito.
- Periodo regolabile da 0 a 90 giorni, politica per politica
- Eccezione per le vulnerabilità sfruttate, attiva di default
- Forzare una distribuzione resta possibile, ed è tracciato
Esempio: politica con un periodo di differimento di 7 giorni
Postazioni di lavoro · anello 2
Criteri
Periodo di differimento7 giorni
Non trattenere mai la correzione di una CVE sfruttata
Anteprima
| Google Chrome 140.0.7339.185Pubblicato 2 giorni fa · chiude CVE-2025-10585, nel KEV | Parte subito |
| openssl 3.0.13-0ubuntu3.6Pubblicato 2 giorni fa · nessuna CVE sfruttata | Trattenuto 5 giorni |
| Aggiornamento cumulativo (KB5066835)Pubblicato 9 giorni fa | Periodo trascorso, parte |
Distribuzione ad anelli
Prima un gruppo pilota, poi tutto il parco
Ogni anello distribuisce solo ciò che l'anello precedente ha installato senza alcun errore da un numero di giorni a tua scelta. Una patch che rompe qualcosa si ferma al pilota.
- Convalida da 0 a 60 giorni tra due anelli (3 di default)
- Anteprima di ogni esecuzione, con il motivo di tutto ciò che viene escluso
- Criteri per origine, categoria e gravità, esclusioni
Politiche di aggiornamento
1
Pilota IT12 macchine · martedì 02:00, Europe/Paris
Riuscita2
Postazioni di lavoroAnello 2 · dopo «Pilota IT», convalidato 3 giorni
In corso3
Server di produzioneAnello 3 · dopo «Postazioni di lavoro», convalidato 7 giorni
Prossima esecuzione: 4 novPianificazione e riavvio
Il giorno giusto, all'ora giusta, senza sorprese per gli utenti
Giornaliera, settimanale, mensile o «Patch Tuesday + 1 giorno», all'ora del fuso orario scelto. Una macchina che non ha iniziato prima della fine della finestra rinuncia. Il riavvio segue la tua politica: mai, se necessario o sempre, con il tuo messaggio.
- Finestra di manutenzione da 15 minuti a 7 giorni
- Attesa prima del riavvio e rinvio massimo concesso all'utente
- Riavvii in sospeso conteggiati sulla dashboard del parco
Distribuzione
PianificazionePatch Tuesday + 1 giorno
Finestra di manutenzione240 minuti
RiavvioSe necessario
Attesa prima del riavvio15 minuti
Rinvio massimo4 ore
Messaggio mostrato all'utente
Il computer si riavvierà per completare gli aggiornamenti di sicurezza. Salva il tuo lavoro.
Gruppi dinamici
Seleziona con regole, il parco si ordina da solo
Sistema, nome, etichetta, criticità, ambiente, origine o stato: i gruppi vengono ricalcolati a ogni utilizzo. Una macchina registrata domani finisce nell'anello giusto senza che nessuno intervenga.
- Fino a 20 condizioni per gruppo
- Anteprima delle macchine corrispondenti
- Gruppi statici quando serve
Server Linux di produzione
SistemaèLinux
eAmbienteèProduzione
eEtichettanon èblocco-modifiche
42 macchine corrispondonoAnteprima
Tracciabilità
Chi ha deciso cosa, cosa è partito, cosa non è riuscito
Ogni approvazione, ogni distribuzione e ogni riavvio vengono scritti nel registro di audit. Un'attività non riuscita, rifiutata o scaduta apre un evento da gestire per gli amministratori del progetto, con solleciti.
- Cronologia delle esecuzioni, per stato e per macchina
- Output degli script conservati per 180 giorni
- Solleciti automatici finché un errore non viene gestito
Cronologia delle esecuzioni
- Politica «Postazioni di lavoro» eseguitaPianificata · 64 macchine · 61 riuscite, 3 in corso
- Finestra di manutenzione apertaPatch Tuesday + 1 giorno · Europe/Paris
- Sophie Martin ha approvato 4 aggiornamentiTra cui KB5066835 e Google Chrome 140
- Marc Lefèvre ha rifiutato un aggiornamentoDriver Intel Display · motivo: regressione nota
- Attività non riuscita su PC-COMPTA-07Evento da gestire aperto · sollecito automatico
L'agente corregge. I connettori coprono tutto il resto
60 connettori collegano TechWatchAlert agli strumenti che usi già: le macchine senza agente entrano nello stesso parco, i dispositivi che nessun agente aggiorna restano sotto controllo, e ogni patch si può verificare.
Le macchine senza agente
Postazioni e server già gestiti altrove entrano nello stesso parco: i loro software vengono confrontati con le CVE, anche dove l'agente non è installato.
Ciò che nessun agente aggiorna
Hypervisor e firewall in appliance si aggiornano a mano. I connettori ne rilevano la versione esatta e ti avvisano appena una vulnerabilità li riguarda: sai cosa pianificare, e su quale dispositivo.
La prova che la patch è andata a buon fine
Le tue scansioni, importate o lette tramite l'API dello scanner, confrontate con i tuoi fascicoli: una patch dichiarata ma che lo scanner vede ancora mancante viene a galla, host per host.
La persona giusta avvisata
L'avviso parte come ticket (Jira, GLPI, ServiceNow…), come scheda Teams o in Slack, e come webhook firmato verso i tuoi script; gli eventi di sicurezza partono anche verso il tuo SIEM.
Un agente che esegue solo ciò che hai approvato
Installare software su tutto il parco richiede un livello di fiducia elevato. Ecco cosa lo giustifica.
Attività firmate
Ogni attività è firmata dalla piattaforma e l'agente ne verifica la firma prima di agire. Installa solo ciò che elenca l'attività firmata che riceve.
Nessuna porta aperta
L'agente contatta la piattaforma a intervalli regolari, con una connessione in uscita cifrata. Nulla è in ascolto sulla macchina, nessuna regola firewall in ingresso.
Modalità osservazione all'inizio
Un nuovo parco parte in modalità osservazione: politiche pianificate e aggiornamenti automatici dell'agente aspettano il tuo via libera. Le tue azioni manuali restano possibili.
Script disattivati di default
Un amministratore li autorizza per il progetto, e una macchina può rifiutarli localmente fin dall'installazione.
Segreti mai archiviati in chiaro
Ogni agente si autentica con il proprio segreto; la piattaforma non lo conserva mai in chiaro.
Ospitato in Francia
Applicazione, database, backup ed e-mail presso OVHcloud, in data center della regione di Parigi.
Ciò che né lo scanner né lo strumento di patch fanno da soli
| Scanner di vulnerabilità | Strumento di patch classico | TechWatchAlert | |
|---|---|---|---|
| Vede le CVE di ogni macchina | |||
| Sa quali sono sfruttate (KEV, CERT-FR, EPSS) | |||
| Installa le patch di sistema e dei software di terze parti | |||
| Mostra le CVE chiuse da ogni aggiornamento | |||
| Lascia passare subito la patch di una vulnerabilità sfruttata | |||
| Distribuisce direttamente dall'avviso | |||
| Tiene fascicolo, decisione e prova nello stesso posto |
Sì · In parte, a seconda dello strumento · No
Confronto per famiglie di strumenti, non per fornitore: le funzioni esatte variano da un prodotto all'altro.
Il patch management, piano per piano
Tutti i prezzi sono IVA esclusa. Prova di Team per 14 giorni senza carta di credito, distribuzione inclusa.
Free
Vedere cosa manca
0 €
Per sempre
Inizia gratis- Agente per Windows, Linux e macOS
- Inventario e aggiornamenti mancanti di ogni macchina
- CVE chiuse da ogni aggiornamento
- 5 macchine incluse
Team
Correggere tutto il parco
149,17 €/mese
fatturazione annuale · 100 macchine incluse
Prova per 14 giorni- Tutto Free, con 100 macchine incluse
- Approvare, rifiutare, distribuire, installare, disinstallare
- Distribuzione dall'avviso
- Finestre di manutenzione e politica di riavvio
- Periodo di differimento ed eccezione per le vulnerabilità sfruttate
- Registro di audit
Enterprise
Automatizzare su larga scala
A partire da6.000 €
all'anno, su preventivo
Parla con il team- Tutto Team, macchine illimitate
- Politiche pianificate ad anelli
- Script PowerShell, bash, Python
- Disponibili anche come opzione su Team
Macchine aggiuntive: 2,50 € per macchina al mese. MSP: tariffa decrescente fino a 0,90 € per macchina al mese.
Confronta tutti i piani →
Quali sistemi e quali software sono coperti?
Windows, Linux e macOS, su x64 e ARM. Su Windows: Windows Update (sicurezza, critici, cumulativi, driver) e winget per i software di terze parti. Su Linux: APT, DNF, YUM e Zypper, quindi tutti i pacchetti della distribuzione. Su macOS: Apple Software Update e Homebrew.
Serve un server WSUS o bisogna aprire una porta?
No. L'agente contatta la piattaforma in HTTPS e scarica gli aggiornamenti dalle fonti abituali di ogni sistema. Nulla è in ascolto sulla macchina e non c'è nessun server da installare da te.
Come evitare che un aggiornamento rompa la produzione?
Tre protezioni si combinano. Il periodo di differimento trattiene per sette giorni le patch troppo recenti. Le approvazioni ti permettono di rifiutare un aggiornamento, che non partirà mai. Gli anelli distribuiscono in produzione solo ciò che il gruppo pilota ha installato senza errori.
E se una patch crea problemi una volta installata?
TechWatchAlert non disinstalla una patch già applicata: è proprio per questo che esistono il periodo di differimento, il pilota e le approvazioni. Puoi invece disinstallare un software tramite winget, APT, DNF o Homebrew, ed eseguire i tuoi script di correzione.
Come vengono gestite le vulnerabilità sfruttate?
Quando un aggiornamento chiude una CVE inserita nel catalogo KEV di CISA o di VulnCheck, o di cui il CERT-FR segnala lo sfruttamento, non aspetta il periodo di differimento. Dall'avviso, il pulsante «Distribuisci con l'agente» elenca le patch e le macchine ancora esposte.
Sostituisce il mio RMM o Intune?
Non necessariamente. Molti team mantengono il loro strumento di gestione e affidano a TechWatchAlert la parte vulnerabilità e patch. L'agente si installa con un comando, e sono forniti script per distribuirlo da Datto, NinjaOne, ConnectWise Automate, N-able e Atera. Senza distribuire l'agente, TechWatchAlert può anche leggere tramite API l'inventario di NinjaOne, Datto RMM, N-able N-central e Atera.
Quanto costa?
Vedere gli aggiornamenti mancanti è gratuito fino a 5 macchine. La distribuzione è inclusa in Team, 179 € al mese per 100 macchine (meno con fatturazione annuale), poi 2,50 € per ogni macchina aggiuntiva. Gli anelli e gli script sono in Enterprise, o come opzione su Team. Prezzi IVA esclusa.
Aiuta con la NIS2?
L'articolo 21 della NIS2 chiede di gestire le vulnerabilità e la loro correzione. Per ogni vulnerabilità, TechWatchAlert conserva la decisione, la patch distribuita, la data e l'autore: quanto basta per mostrare a un auditor cosa è stato fatto, e quando.
Dove sono ospitati i dati?
In Francia, presso OVHcloud, nella regione di Parigi: applicazione, database, backup ed e-mail. L'editore di TechWatchAlert ha sede in Francia.
Patch management
Rileva, poi correggi senza cambiare strumento
L'agente rileva l'inventario, TechWatchAlert dà priorità a ciò che è sfruttato e la patch parte nella finestra che hai scelto.
Piano Free senza carta di credito · ospitato in Francia