あなたのサーバーで、既知の脆弱性があるソフトウェアが動いていませんか？

Web サイトのスキャンで分かるのは、サーバーが外に見せているもの（ヘッダー、公開ファイル、TLS）だけです。3 階層下の Composer パッケージ、ビルドで使う npm の依存、バックグラウンド処理の Python ライブラリに CVE があっても見えません。しかし攻撃者がエクスプロイト公開直後に探すのは、まさにそこです。

確実な方法は、実際にインストールされているものを一覧にし、脆弱性データベースと照合することです。このチェックは OSV と、実際に悪用されている脆弱性の CISA リスト（KEV）と照合します。

サーバーを下から積み上げたスタックとして読みます:

1. オペレーティングシステム：ディストリビューションとカーネル。
2. システムライブラリとインストール済みソフトウェア：openssl、nginx、docker、redis など。
3. 言語とフレームワーク：PHP と Laravel、JavaScript と Vue、Python など。
4. 言語ライブラリ：各アプリケーションの Composer・npm・PyPI パッケージ（直接・間接）。

--docker を付けると、実行中のコンテナもイメージを書き出さずにその場で読み取ります。

wpsbom は Linux・macOS 用のオープンソースの単一バイナリです。ファイルを読むだけで、指示しない限り何も送信しません。

curl -fsSL https://raw.githubusercontent.com/ice-s/wpsbom/main/install.sh | sh

ソースコードの場所は自動では分からないため、アプリケーションのディレクトリを --path で指定します（いくつでも可）:

sudo wpsbom scan / --path /srv/shop --path /srv/worker --docker \
  --out-dir scans/ -o cyclonedx-json

数秒後、scans/ にサーバー用のファイルとコンテナイメージごとのファイルができます。ログインしてアカウントメニューから マイサーバー を開き、プロジェクト名を付けて サーバー を選び、ファイルをドロップします:

• OS パッケージを除き、アプリのライブラリだけにする：--no-os。
• イメージを 1 つだけ：wpsbom scan --image acme/shop:1.4 -o cyclonedx-json=shop.cdx.json。
• syft・Trivy・cdxgen のファイル（CycloneDX または SPDX JSON）も使えます。

ソフトウェアスタックがサーバー全体を要約します。各ブロックにパッケージ数と深刻度別の脆弱性数が表示され、左端は最も深刻なものの色になります。ブロックをクリックするとその部分だけを表示します。

脆弱性一覧も同じ入れ子です。場所列はパッケージがどのアプリケーションのものか、直接依存か間接依存かを示し、修正版列にはバージョンとコピーできるコマンドがあります。

1. 悪用確認済み（KEV）と緊急：実際のサーバーへの攻撃に使われています。今日中に更新してください。
2. アプリケーションの直接依存：これを上げると、間接依存も修正版に上がることがよくあります。
3. dev パッケージ（ビルドツール）は、本番サーバーでビルドしない限り優先度は下がります。

更新したら、もう一度スキャンしてアップロードすれば残りが分かります。手作業なしで最新に保つには、連携 で API トークンを作り、wpsbom から自動送信します。たとえば毎日の cron で:

export WPSBOM_TOKEN=wp_…
sudo -E wpsbom push / --project demo-web-01 \
  --path /srv/shop --path /srv/worker --docker

Watchpost はサーバーに接続しますか？ いいえ。スキャンはあなたが実行し、読み取るのはアップロードされたファイルだけです。

何が送信されますか？ パッケージ名、バージョン、ロックファイルのパスです。ソースコード、設定、秘密情報は含まれません。ホスト名はハッシュに置き換えられ、アップロードしたファイル自体は保存されず、プロジェクトはあなたのアカウントだけが閲覧できます。

対応システムは？ wpsbom は Debian・Ubuntu・Alpine のパッケージと、Composer・npm / yarn・PyPI・Go・RubyGems のライブラリを読み取ります。他のツールのファイルなら Maven・NuGet のライブラリも照合します。OS パッケージは一覧に表示されますが、まだ脆弱性とは照合しません。

Kubernetes は？ wpsbom k8s をクラスタ内で動かすと、各ワークロードをそのイメージのスキャン結果に結び付けます。