¿Qué es cvENGINE?
cvENGINE es una herramienta autoalojada de evaluación de la superficie de ataque externa de un solo mantenedor, hevnsnt, y un fork de reNgine 2.x. Añades un dominio, un rango de direcciones o una URL; encuentra subdominios, certificados, direcciones y puertos con bbot, naabu, una vigilancia de transparencia de certificados y nmap, cruza lo que encuentra con los CVE señalados por CISA KEV, ENISA EUVD, VulnCheck KEV, EPSS, Exploit-DB y Metasploit, e intenta reproducir cada coincidencia con Nuclei, nmap o una sonda de banner. Alrededor hay una búsqueda al estilo de Shodan sobre tu propio inventario, una línea temporal de cambios, informes en PDF, un banco de trabajo de bug bounty que lee el alcance de HackerOne, Bugcrowd, Intigriti y YesWeHack, una API REST y un servidor MCP.
Cada CVE recibe una calificación fija antes de que intervenga ningún modelo: fire (explotado conocido, un exploit público, CVSS 9.0 o superior, o EPSS de 0.1 o más con CVSS 7.0 o superior), smoke (CVSS 7.0 o EPSS 0.1) o ice. Después, un modelo de Anthropic, OpenAI, OpenRouter o un servidor local de Ollama, LM Studio o vLLM clasifica los hallazgos y planifica las comprobaciones; sin modelo, el descubrimiento, la correlación y la validación siguen funcionando. Los Sentinels, un cliente Docker aparte, escanean desde otras redes, incluidas las privadas que el servidor nunca escanea. OpenVAS de Greenbone es un complemento opcional, desactivado por defecto.
El repositorio se creó el 24 de octubre de 2026, tiene licencia GPL-3.0 y cuenta con unas 547 estrellas y 89 forks. En su primera semana acumuló 724 commits y 10 versiones, desde la v1.0 del 25 de octubre hasta la v1.3.1 del 30 de octubre; GitHub muestra dos colaboradores, hevnsnt con 421 commits y Claude con 295. Se ejecuta como una sola pila de Docker Compose (Django 5.2, PostgreSQL 18) en Linux con al menos 4 GB de RAM.
¿Merece la pena cvENGINE?
cvENGINE reúne en una sola pila Docker gratuita el descubrimiento, la correlación de CVE ordenada por explotación y las comprobaciones con pruebas, el trabajo por el que cobran las plataformas comerciales de superficie de ataque, y su documentación es más franca sobre sus carencias que la de la mayoría de los proveedores. Lo que lo frena es la edad. El proyecto tiene una semana, es un fork de reNgine 2.x rehecho a un ritmo de 724 commits en siete días, y su propia página de comparación dice que fue "escrito en días y probado mucho menos". GitHub atribuye 295 de esos commits a Claude, así que buena parte del código se escribió con un agente de IA y la revisó un único mantenedor.
El reparto entre modelo y reglas es la parte mejor diseñada. Fire, smoke e ice salen de una regla fija en un solo archivo, aplicada antes de que ningún modelo vea un CVE, y una coincidencia necesita el producto más una versión dentro de un rango afectado acotado; el nombre de un producto por sí solo no coincide con nada. Después, el triaje etiqueta los hallazgos como confirmed, likely o needs validation, pero las pruebas firmes, como un acierto de plantilla o una base de datos que respondió, fijan un suelo que el modelo no puede rebajar, y el modelo por sí solo nunca puede confirmar un hallazgo. Según la documentación del pipeline, los prompts de triaje llevan pruebas limpias (producto, versión, rango del aviso, id de plantilla) con los nombres de host ocultos, y el modelo que redacta los registros de detección solo ve texto de los feeds. Dos fases van más allá: Validate now pide al modelo que planifique comprobaciones para un host concreto, y las pantallas de inicio de sesión capturadas en servidores RDP sin Network Level Authentication se le envían como imágenes. Para un inventario de tus propios puntos débiles, un modelo local con Ollama, LM Studio o vLLM mantiene todo eso en tu hardware.
"Solo lectura" merece una lectura más atenta que la que le da el README. Las cinco comprobaciones de validación se describen como de solo lectura, y las plantillas de Nuclei escritas por la IA nunca se ejecutan hasta que una persona las aprueba. Sin embargo, desde la 1.3 el interruptor de Scan policy que ejecuta todas las plantillas de Nuclei instaladas, incluidas las que envían algo más que peticiones GET, HEAD u OPTIONS, está activado por defecto; solo quedan excluidas las plantillas de denegación de servicio y las comprobaciones fuera de banda. El escáner también prueba MySQL como root sin contraseña y pide a MongoDB que liste sus bases de datos sin autenticación, y su propia documentación califica OpenVAS de intrusivo. Un equipo que haya prometido a un cliente pruebas pasivas debería desactivar ese interruptor antes del primer escaneo.
La autorización queda en gran parte en manos del operador. El asistente de configuración te pide confirmar que puedes probar el primer objetivo, y el servidor rechaza direcciones de loopback, link-local y de metadatos de la nube, y los rangos privados salvo que los permitas. En nuestra lectura de la documentación no hay prueba de propiedad, como un registro DNS, para un objetivo normal: un dominio que escribes se descubre y se escanea. El banco de trabajo de bug bounty es la excepción, con una barrera común que nunca escanea un host que un programa declara fuera de alcance o no incluye, y que retiene los escaneos automáticos hasta que registras que leíste la política y que permite pruebas automatizadas.
Los Sentinels no publican puertos, llaman al servidor por HTTPS, se ejecutan como un usuario sin privilegios con NET_RAW y NET_ADMIN, y usan tokens que solo llegan a sus propias rutas durante 90 días. El punto débil es la actualización: el cliente construye lo que haya en la rama main de su origen sin comprobar firmas, y un Sentinel interno puede escanear cualquier dirección privada, incluidos sus vecinos de la LAN. El repositorio del cliente tiene 1 estrella y GitHub no muestra licencia para él. Los controles propios del servidor son sensatos: una contraseña de administrador generada que hay que sustituir, inicio de sesión en dos pasos con TOTP que una organización puede exigir, roles admin, user y audit, una lista de IP permitidas y un registro de auditoría. Frente a la plataforma alojada de ProjectDiscovery, que la comparación de cvENGINE sitúa en 200 $ por puesto al mes, o frente a Censys y Shodan Monitor, que vigilan un índice construido con sus propios escaneos de todo internet en lugar de sondear desde tu servidor, cvENGINE renuncia al SSO, a los informes de cumplimiento, al descubrimiento de cuentas en la nube y a un proveedor al que llamar, y mantiene cada hallazgo en tu propia máquina.
Dónde se gana su sitio
Un equipo de seguridad de dos personas en una empresa SaaS de 300 empleados
Saber cuáles de los CVE explotados esta semana alcanzan nuestros hosts públicos, con pruebas
Instálalo en una VM Linux con 8 GB de RAM, añade los dominios raíz, apunta el modelo de IA a un servidor local de Ollama y desactiva el interruptor de Scan policy de todas las plantillas si el control de cambios exige pruebas de solo lectura. Las coincidencias fire con pruebas llegan a Slack; no hay cuota de licencia, solo la VM y el hardware del modelo.
Un cazador de bug bounty a tiempo parcial que trabaja programas de HackerOne y Bugcrowd
Escanear solo lo que permite un programa y convertir los hallazgos en informes
Un App Admin autoriza el banco de trabajo, pulsas Work this program, registras que leíste la política e importas hasta 200 objetivos; los hosts fuera de alcance o no incluidos nunca se escanean. Los informes de HackerOne salen con tus propias credenciales de API, mientras que Bugcrowd, Intigriti y YesWeHack reciben campos listos para copiar.
Un ingeniero de plataforma que corrige la infraestructura a través de Claude Code
Que el agente de código traiga los hallazgos abiertos más peligrosos y confirme las correcciones
Crea un token en la página API tokens and MCP y registra el servidor con claude mcp add --transport http; la lista de remediación llega con lo fire primero, y el texto de los hosts escaneados se marca como no fiable. Los inicios de sesión guardados no se pueden configurar por MCP, así que los secretos quedan fuera del contexto del modelo.
Un responsable de TI a cargo de la LAN de una oficina
Aplicar la misma correlación de CVE a máquinas internas que el escaneo público no alcanza
Declara el rango de la oficina en el proyecto, aprovisiona un Sentinel interno ligero y arráncalo con docker compose up -d en un equipo Linux de esa LAN; cada semana busca hosts activos y ejecuta pasadas de nmap, TLS, UDP y Nuclei. Deja su autoactualización en Manual, ya que las actualizaciones no verifican firmas.
Antes de decidirte
- Puesta en marcha
- git clone y después sudo ./install.sh en Debian o Ubuntu: instala Docker si falta, genera todos los secretos y un certificado HTTPS privado, e imprime la contraseña de administrador. Necesita al menos 4 GB de RAM, 8 GB para ir holgado, 20 GB de disco libre y los puertos 443 y 8082.
- Integraciones
- bbot, naabu, nmap, Nuclei, testssl.sh, WPScan y OpenVAS opcional; Anthropic, OpenAI, OpenRouter, Ollama, LM Studio y vLLM; alertas en Slack, Discord, Telegram y Lark; importaciones de Tailscale y runZero; una API REST y un servidor MCP por HTTP con tokens de solo lectura.
- Datos y privacidad
- Nada va a los autores, según la página de comparación. El triaje envía pruebas con datos ocultos al modelo elegido, y las capturas de inicio de sesión RDP van a un modelo de visión; el registro de uso de IA no guarda prompts ni objetivos. Las claves guardadas y las semillas del inicio de sesión en dos pasos se cifran con una clave de .env. GPL-3.0.
- Coste a escala
- No hay edición de pago. El servidor es el coste principal, más unos 4 GB de RAM, 2 vCPU y 25 GB de disco para OpenVAS; los tokens de modelos alojados se registran por fase del pipeline, y el redactor de detecciones con IA hace por defecto 25 llamadas al día. El plan gratuito de WPScan permite 25 peticiones de API al día, y su licencia exige un acuerdo comercial para servicios alojados.
- Límites
- Sin descubrimiento de cuentas en la nube, SSO, Jira ni informes de cumplimiento; las sondas de SO de nmap fallan con Docker Desktop en macOS y Windows; OpenVAS tarda entre medio día y un día por host; 14 issues y pull requests abiertos, con versiones casi a diario.
Lo bueno
- Las calificaciones fire, smoke e ice son deterministas y se aplican antes de cualquier modelo
- El modelo nunca puede confirmar un hallazgo por sí solo; las pruebas firmes fijan un suelo
- Funciona sin modelo, o con un servidor local de Ollama, LM Studio o vLLM
- La barrera de bug bounty bloquea los hosts fuera de alcance o no incluidos
- Gratuito y autoalojado, con una API REST y un servidor MCP
Lo malo
- Una semana de vida, 724 commits en siete días, un solo mantenedor
- Desde la 1.3 se ejecutan por defecto todas las plantillas de Nuclei instaladas, no solo las de solo lectura
- Sin comprobación de propiedad en los objetivos normales
- Las actualizaciones de los Sentinels no verifican firmas y el repositorio del cliente no muestra licencia
- Sin SSO, Jira, descubrimiento de cuentas en la nube ni informes de cumplimiento
Ideal para
Ingenieros de seguridad y cazadores de bug bounty que quieren una vista gratuita y autoalojada de qué CVE explotados afectan a sus propios hosts expuestos a internet, y que pueden ejecutar un modelo local y seguir un changelog que avanza deprisa.
cvENGINE: preguntas frecuentes
- ¿Merece la pena cvENGINE?
- Un escáner de superficie de ataque gratuito y capaz, con una documentación de una franqueza poco habitual, pero tiene una semana y ejecuta por defecto plantillas de Nuclei que no son solo GET, así que limítalo a activos tuyos y a un modelo que alojes tú. Le damos un 3.6 sobre 5.
- ¿Cuánto cuesta cvENGINE?
- Gratuito y de código abierto bajo GPL-3.0, sin límites de puestos ni de activos. Pagas el servidor, los tokens de cualquier modelo alojado y claves de datos de pago opcionales como la de WPScan.
- ¿Qué inconvenientes tiene cvENGINE?
- Una semana de vida, 724 commits en siete días, un solo mantenedor; desde la 1.3 se ejecutan por defecto todas las plantillas de Nuclei instaladas, no solo las de solo lectura; sin comprobación de propiedad en los objetivos normales; las actualizaciones de los Sentinels no verifican firmas y el repositorio del cliente no muestra licencia; sin SSO, Jira, descubrimiento de cuentas en la nube ni informes de cumplimiento.
- ¿Para quién es cvENGINE?
- Ingenieros de seguridad y cazadores de bug bounty que quieren una vista gratuita y autoalojada de qué CVE explotados afectan a sus propios hosts expuestos a internet, y que pueden ejecutar un modelo local y seguir un changelog que avanza deprisa.
- ¿Cuánto cuesta cvENGINE para un equipo o en producción?
- No hay edición de pago. El servidor es el coste principal, más unos 4 GB de RAM, 2 vCPU y 25 GB de disco para OpenVAS; los tokens de modelos alojados se registran por fase del pipeline, y el redactor de detecciones con IA hace por defecto 25 llamadas al día. El plan gratuito de WPScan permite 25 peticiones de API al día, y su licencia exige un acuerdo comercial para servicios alojados.
- ¿Es cvENGINE seguro para los datos de la empresa?
- Nada va a los autores, según la página de comparación. El triaje envía pruebas con datos ocultos al modelo elegido, y las capturas de inicio de sesión RDP van a un modelo de visión; el registro de uso de IA no guarda prompts ni objetivos. Las claves guardadas y las semillas del inicio de sesión en dos pasos se cifran con una clave de .env. GPL-3.0.
Respuestas comprobadas el 31 oct 2026.