What was delivered

• A read-only scan of this Mac and every AWS region: Lambda, EC2, ECS, Elastic Beanstalk, Lightsail and App Runner, compared with the safe versions (PHP ≥ 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35, Node.js ≥ 22.23.4 / 24.22.1 / 26.12.1, Go ≥ 1.27.3 / 1.26.10).
• The report in 3 minutes (07:33 → 07:36): no PHP or Go anywhere; 2 affected (a Lambda on Node.js 20 and Node.js 24.21.0 on this Mac); 2 to confirm (a Lambda on Node.js 22 and a stopped EC2 server); 12 Python Lambdas not affected. Nothing was changed.
• After my approval at 08:23, done by 08:25: the Lambda moved from Node.js 20 to 24 and the Mac to Node.js 24.22.1 from the official package with its checksum verified.
• A rollback point first: the old Lambda setup saved as version 1, the old Node.js kept on the Mac.
• Tests after: the health check returned 200 before and after, a sign-in route still answers 401 without a login as it should, and the logs show no errors.

Problems and fixes

• Amazon Inspector isn't turned on, so the CVEs couldn't be looked up directly. Fix: judge by the exact runtime version of every program.
• AWS doesn't show the exact patch of a Node.js 22 Lambda that updates itself. Fix: marked “to confirm” and checked again once AWS ships the fix.
• A stopped EC2 server can't be read. Fix: upgrade Node.js before starting it again.
• A deploy script still set to Node.js 20 would undo the upgrade. Fix: flagged in the report so the next deploy uses Node.js 24.

Why it matters

When a vulnerability is announced, the slow part is finding out where you're exposed: logging in region by region and checking versions one by one takes hours. Now one question from my phone gets a full, read-only answer in minutes, nothing changes without my approval, and every change comes with a way back and a test.

Stack

交付了什么

• 只读扫描这台 Mac 和 AWS 每个区域：Lambda、EC2、ECS、Elastic Beanstalk、Lightsail 和 App Runner，对照安全版本（PHP ≥ 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35，Node.js ≥ 22.23.4 / 24.22.1 / 26.12.1，Go ≥ 1.27.3 / 1.26.10）。
• 3 分钟出报告（07:33 → 07:36）：哪里都没有 PHP 和 Go；2 个受影响（一个 Node.js 20 的 Lambda，和这台 Mac 的 Node.js 24.21.0）；2 个待确认（一个 Node.js 22 的 Lambda，和一台停机的 EC2）；12 个 Python 的 Lambda 不受影响。什么都没改。
• 08:23 我批准，08:25 完成：Lambda 从 Node.js 20 升到 24；Mac 用官方安装包升到 Node.js 24.22.1，校验码核对过。
• 先留回滚点：Lambda 旧设定存成版本 1，Mac 上的旧版 Node.js 保留。
• 升级后测试：健康检查升级前后都是 200；没登录时登录接口照样回 401，这是对的；日志没有错误。

遇到的问题与解决

• Amazon Inspector 没开，没办法直接查漏洞编号。解决：逐个看每个程序确切的运行版本来判断。
• 会自动更新的 Node.js 22 Lambda，AWS 不显示确切的修补版本。解决：标成“待确认”，等 AWS 推出修补后再查。
• 停机的 EC2 读不到里面装了什么。解决：下次开机前先升级 Node.js。
• 如果部署脚本还写着 Node.js 20，下次部署会把升级改回去。解决：在报告里提醒，下次部署改用 Node.js 24。

为什么重要

漏洞一公布，最慢的是找出自己哪里有风险：一个个区域登录、逐个查版本，要花好几个小时。现在在手机上问一句，几分钟就有完整的只读答案；没有我批准什么都不改；每次改动都留好退路，也都测试过。

技术栈

交付了什麼

• 唯讀掃描這台 Mac 和 AWS 每個區域：Lambda、EC2、ECS、Elastic Beanstalk、Lightsail 和 App Runner，對照安全版本（PHP ≥ 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35，Node.js ≥ 22.23.4 / 24.22.1 / 26.12.1，Go ≥ 1.27.3 / 1.26.10）。
• 3 分鐘出報告（07:33 → 07:36）：哪裡都沒有 PHP 和 Go；2 個受影響（一個 Node.js 20 的 Lambda，和這台 Mac 的 Node.js 24.21.0）；2 個待確認（一個 Node.js 22 的 Lambda，和一台停機的 EC2）；12 個 Python 的 Lambda 不受影響。什麼都沒改。
• 08:23 我批准，08:25 完成：Lambda 從 Node.js 20 升到 24；Mac 用官方安裝套件升到 Node.js 24.22.1，檢查碼核對過。
• 先留回復點：Lambda 舊設定存成版本 1，Mac 上的舊版 Node.js 保留。
• 升級後測試：健康檢查升級前後都是 200；沒登入時登入介面照樣回 401，這是對的；日誌沒有錯誤。

遇到的問題與解決

• Amazon Inspector 沒開，沒辦法直接查漏洞編號。解決：逐一看每個程式確切的執行版本來判斷。
• 會自動更新的 Node.js 22 Lambda，AWS 不顯示確切的修補版本。解決：標成「待確認」，等 AWS 推出修補後再查。
• 停機的 EC2 讀不到裡面裝了什麼。解決：下次開機前先升級 Node.js。
• 如果部署腳本還寫著 Node.js 20，下次部署會把升級改回去。解決：在報告裡提醒，下次部署改用 Node.js 24。

為什麼重要

漏洞一公布，最慢的是找出自己哪裡有風險：一個個區域登入、逐一查版本，要花好幾個小時。現在在手機上問一句，幾分鐘就有完整的唯讀答案；沒有我批准什麼都不改；每次改動都留好退路，也都測試過。

技術堆疊