O que é cvENGINE?
O cvENGINE é uma ferramenta auto-hospedada de avaliação da superfície de ataque externa, de um único mantenedor, hevnsnt, e um fork do reNgine 2.x. Você adiciona um domínio, uma faixa de endereços ou uma URL; ele encontra subdomínios, certificados, endereços e portas com bbot, naabu, um monitoramento de certificate transparency e nmap, cruza o que encontra com CVEs sinalizadas por CISA KEV, ENISA EUVD, VulnCheck KEV, EPSS, Exploit-DB e Metasploit, e tenta reproduzir cada correspondência com Nuclei, nmap ou uma sondagem de banner. Em volta disso há uma busca no estilo Shodan sobre o seu próprio inventário, uma linha do tempo de mudanças, relatórios em PDF, uma bancada de bug bounty que lê o escopo de HackerOne, Bugcrowd, Intigriti e YesWeHack, uma API REST e um servidor MCP.
Cada CVE recebe uma classificação fixa antes de qualquer modelo entrar em cena: fire (explorada conhecida, um exploit público, CVSS 9.0 ou mais, ou EPSS 0.1 ou mais com CVSS 7.0 ou mais), smoke (CVSS 7.0 ou EPSS 0.1) ou ice. Um modelo da Anthropic, OpenAI, OpenRouter ou um servidor local Ollama, LM Studio ou vLLM então faz a triagem dos achados e planeja as verificações; sem modelo, a descoberta, o cruzamento e a validação continuam rodando. Os Sentinels, um cliente Docker separado, fazem varreduras a partir de outras redes, incluindo redes privadas que o próprio servidor nunca varre. O OpenVAS da Greenbone é um complemento opcional, desligado por padrão.
O repositório foi criado em 24 de outubro de 2026, tem licença GPL-3.0 e cerca de 547 estrelas e 89 forks. Na primeira semana acumulou 724 commits e 10 versões, da v1.0 em 25 de outubro à v1.3.1 em 30 de outubro; o GitHub lista dois colaboradores, hevnsnt com 421 commits e Claude com 295. Ele roda como uma única stack Docker Compose (Django 5.2, PostgreSQL 18) em Linux, com pelo menos 4 GB de RAM.
cvENGINE vale a pena?
O cvENGINE reúne descoberta, cruzamento de CVEs classificadas por exploração e verificação de evidências, o trabalho que plataformas comerciais de superfície de ataque cobram para fazer, em uma única stack Docker gratuita, e sua documentação é mais franca sobre as próprias lacunas do que a da maioria dos fornecedores. O que o segura é a idade. O projeto tem uma semana, é um fork do reNgine 2.x retrabalhado no ritmo de 724 commits em sete dias, e sua própria página de comparação o descreve como "escrito em dias e testado muito menos". O GitHub atribui 295 desses commits ao Claude, então boa parte do código foi escrita com um agente de IA e revisada por um único mantenedor.
A divisão entre modelo e regras é a parte mais bem desenhada. Fire, smoke e ice vêm de uma regra fixa em um único arquivo, aplicada antes que qualquer modelo veja uma CVE, e uma correspondência exige o produto mais uma versão dentro de uma faixa afetada delimitada; só o nome do produto não corresponde a nada. A triagem então marca os achados como confirmados, prováveis ou a validar, mas evidência concreta, como um acerto de template ou um banco de dados que respondeu, define um piso abaixo do qual o modelo não pode ir, e o modelo sozinho nunca pode confirmar um achado. Segundo a documentação do pipeline, os prompts de triagem levam evidência limpa (produto, versão, faixa do aviso, id do template) com os nomes de host ocultados, e o modelo que redige os registros de detecção só vê o texto dos feeds. Duas etapas vão além: o Validate agora pede ao modelo que planeje verificações para um host específico, e telas de login capturadas de servidores RDP sem Network Level Authentication são enviadas a ele como imagens. Para um inventário dos seus próprios pontos fracos, um modelo local via Ollama, LM Studio ou vLLM mantém tudo isso no seu hardware.
"Somente leitura" pede uma leitura mais atenta do que o README oferece. As cinco verificações de validação são descritas como somente leitura, e templates Nuclei escritos por IA nunca rodam até que uma pessoa os aprove. Desde a 1.3, porém, a opção da Scan policy que roda todos os templates Nuclei instalados, incluindo os que enviam mais do que requisições GET, HEAD ou OPTIONS, vem ligada por padrão; só os templates de negação de serviço e as verificações out-of-band continuam excluídos. O scanner também tenta entrar no MySQL como root sem senha e pede ao MongoDB que liste seus bancos sem autenticação, e a própria documentação chama o OpenVAS de intrusivo. Uma equipe que prometeu a um cliente testes passivos deve desligar essa opção antes da primeira varredura.
A autorização fica em grande parte a cargo do operador. O assistente de configuração pede que você confirme que pode testar o primeiro alvo, e o servidor recusa endereços de loopback, link-local e de metadados de nuvem, e faixas privadas, a menos que você as permita. Pela nossa leitura da documentação, não há prova de propriedade, como um registro DNS, para um alvo comum: um domínio que você digita é descoberto e varrido. A bancada de bug bounty é a exceção, com uma barreira compartilhada que nunca varre um host que um programa lista como fora do escopo ou não lista, e que segura as varreduras automáticas até você registrar que leu a política e que ela permite testes automatizados.
Os Sentinels não publicam portas, chamam o servidor por HTTPS, rodam como usuário sem privilégios com NET_RAW e NET_ADMIN e guardam tokens que só alcançam suas próprias rotas, por 90 dias. O ponto fraco é a atualização: o cliente constrói o que estiver no branch principal da sua origem, sem verificação de assinatura, e um Sentinel interno pode varrer qualquer endereço privado, incluindo os vizinhos na LAN. O repositório do cliente tem 1 estrela e o GitHub não mostra licença para ele. Os controles do próprio servidor são sensatos, com uma senha de administrador gerada que precisa ser trocada, login em duas etapas por TOTP que uma organização pode exigir, papéis de admin, usuário e auditoria, uma lista de IPs permitidos e um log de auditoria. Comparado à plataforma hospedada da ProjectDiscovery, que a comparação do cvENGINE cota em US$ 200 por assento por mês, ou ao Censys e ao Shodan Monitor, que observam um índice construído a partir das suas próprias varreduras de toda a internet em vez de sondar a partir do seu servidor, o cvENGINE abre mão de SSO, relatórios de conformidade, descoberta de contas de nuvem e um fornecedor para quem ligar, e mantém cada achado na sua própria máquina.
Onde ele se destaca
Uma equipe de segurança de duas pessoas em uma empresa de SaaS de 300 pessoas
Descobrir quais CVEs exploradas desta semana atingem nossos hosts públicos, com prova
Instale em uma VM Linux com 8 GB de RAM, adicione os domínios principais, aponte o modelo de IA para um servidor Ollama local e desligue a opção de todos os templates da Scan policy se o controle de mudanças exigir testes somente leitura. Correspondências fire com evidência vão para o Slack; não há taxa de licença, só a VM e o hardware do modelo.
Um caçador de bug bounty em tempo parcial que trabalha com programas do HackerOne e do Bugcrowd
Varrer só o que um programa permite e transformar os achados em relatórios
Um App Admin autoriza a bancada, você clica em Work this program, registra que leu a política e importa até 200 alvos; hosts fora do escopo e não listados nunca são varridos. Relatórios para o HackerOne saem com as suas próprias credenciais de API, enquanto Bugcrowd, Intigriti e YesWeHack recebem campos prontos para copiar.
Um engenheiro de plataforma que corrige infraestrutura pelo Claude Code
Fazer o agente de programação buscar os achados abertos mais perigosos e confirmar as correções
Crie um token na página API tokens and MCP e registre o servidor com claude mcp add --transport http; a lista de correções chega com os fire primeiro, e o texto vindo de hosts varridos é marcado como não confiável. Logins armazenados não podem ser definidos via MCP, então os segredos ficam fora do contexto do modelo.
Um responsável de TI por uma LAN de escritório
Rodar o mesmo cruzamento de CVEs em máquinas internas que a varredura pública não alcança
Declare a faixa do escritório no projeto, provisione um Sentinel leve interno e inicie-o com docker compose up -d em uma máquina Linux nessa LAN; ele procura hosts ativos toda semana e roda passadas de nmap, TLS, UDP e Nuclei. Deixe a autoatualização em Manual, já que as atualizações não têm verificação de assinatura.
Antes de decidir
- Configuração
- git clone e depois sudo ./install.sh no Debian ou Ubuntu: ele instala o Docker se faltar, gera todos os segredos e um certificado HTTPS privado e imprime a senha do administrador. Precisa de pelo menos 4 GB de RAM, 8 GB para ficar confortável, 20 GB de disco livre e das portas 443 e 8082.
- Integrações
- bbot, naabu, nmap, Nuclei, testssl.sh, WPScan e OpenVAS opcional; Anthropic, OpenAI, OpenRouter, Ollama, LM Studio e vLLM; alertas por Slack, Discord, Telegram e Lark; importações do Tailscale e do runZero; uma API REST e um servidor MCP HTTP com tokens somente leitura.
- Dados e privacidade
- Nada vai para os autores, segundo a página de comparação. A triagem envia evidência ocultada ao modelo escolhido, e as capturas de tela de login RDP vão para um modelo de visão; o registro de uso de IA não armazena prompts nem alvos. Chaves armazenadas e sementes de duas etapas são cifradas com uma chave no .env. GPL-3.0.
- Custo em escala
- Não há edição paga. O servidor é o principal custo, mais cerca de 4 GB de RAM, 2 vCPUs e 25 GB de disco para o OpenVAS; os tokens de modelos hospedados são contabilizados por etapa do pipeline, e o redator de detecções por IA tem como padrão 25 chamadas por dia. O plano gratuito do WPScan permite 25 requisições de API por dia, e sua licença exige um acordo comercial para serviços hospedados.
- Limites
- Sem descoberta de contas de nuvem, SSO, Jira ou relatórios de conformidade; as sondagens de SO do nmap falham no Docker Desktop no macOS e no Windows; o OpenVAS leva de meio dia a um dia por host; 14 issues e pull requests abertos, com lançamentos quase todo dia.
O que é bom
- As classificações fire, smoke e ice são determinísticas e rodam antes de qualquer modelo
- O modelo nunca pode confirmar um achado sozinho; evidência concreta define um piso
- Funciona sem modelo, ou com um servidor local Ollama, LM Studio ou vLLM
- A barreira de bug bounty bloqueia hosts fora do escopo e não listados
- Gratuito, auto-hospedado, com uma API REST e um servidor MCP
O que não é
- Uma semana de vida, 724 commits em sete dias, um único mantenedor
- Desde a 1.3, todos os templates Nuclei instalados, não só os somente leitura, rodam por padrão
- Sem verificação de propriedade para alvos comuns
- As atualizações do Sentinel não têm verificação de assinatura, e o repositório do cliente não mostra licença
- Sem SSO, Jira, descoberta de contas de nuvem ou relatórios de conformidade
Ideal para
Engenheiros de segurança e caçadores de bug bounty que querem uma visão gratuita e auto-hospedada de quais CVEs exploradas atingem seus próprios hosts expostos à internet, e que conseguem rodar um modelo local e acompanhar um changelog que anda rápido.
cvENGINE: perguntas frequentes
- cvENGINE vale a pena?
- Um scanner de superfície de ataque gratuito e capaz, com documentação incomumente honesta, mas ele tem uma semana de vida e roda por padrão templates Nuclei que não são GET, então limite-o a ativos seus e a um modelo que você hospede. Damos nota 3.6 de 5.
- Quanto custa cvENGINE?
- Gratuito e de código aberto sob GPL-3.0, sem limites de assentos ou ativos. Você paga o servidor, eventuais tokens de modelos hospedados e chaves de dados pagas opcionais, como a do WPScan.
- Quais são as desvantagens de cvENGINE?
- Uma semana de vida, 724 commits em sete dias, um único mantenedor; desde a 1.3, todos os templates Nuclei instalados, não só os somente leitura, rodam por padrão; sem verificação de propriedade para alvos comuns; as atualizações do Sentinel não têm verificação de assinatura, e o repositório do cliente não mostra licença; sem SSO, Jira, descoberta de contas de nuvem ou relatórios de conformidade.
- Para quem cvENGINE é indicado?
- Engenheiros de segurança e caçadores de bug bounty que querem uma visão gratuita e auto-hospedada de quais CVEs exploradas atingem seus próprios hosts expostos à internet, e que conseguem rodar um modelo local e acompanhar um changelog que anda rápido.
- Quanto custa cvENGINE para uma equipe ou em produção?
- Não há edição paga. O servidor é o principal custo, mais cerca de 4 GB de RAM, 2 vCPUs e 25 GB de disco para o OpenVAS; os tokens de modelos hospedados são contabilizados por etapa do pipeline, e o redator de detecções por IA tem como padrão 25 chamadas por dia. O plano gratuito do WPScan permite 25 requisições de API por dia, e sua licença exige um acordo comercial para serviços hospedados.
- cvENGINE é seguro para dados da empresa?
- Nada vai para os autores, segundo a página de comparação. A triagem envia evidência ocultada ao modelo escolhido, e as capturas de tela de login RDP vão para um modelo de visão; o registro de uso de IA não armazena prompts nem alvos. Chaves armazenadas e sementes de duas etapas são cifradas com uma chave no .env. GPL-3.0.
Respostas verificadas em 31 de out. de 2026.