Men-triase satu CVE secara manual berarti membuka tab demi tab: NVD untuk skor CVSS, EPSS untuk probabilitas eksploitasi, CISA KEV untuk status eksploitasi yang terkonfirmasi, GitHub untuk patch, VirusTotal untuk kaitan malware, lalu merangkainya sendiri di kepala. CVE MCP Server menghilangkan pekerjaan itu. Ini adalah server Model Context Protocol (MCP) open source yang dipasang ke Claude dan memberinya seperangkat tool intelijen keamanan lengkap, sehingga kamu bisa bertanya satu pertanyaan, misalnya "Apakah CVE ini harus segera di-patch?", dan mendapat jawaban berdasar bukti dalam hitungan detik.
Proyek ini adalah mukul975/cve-mcp-server, yang dideskripsikan di GitHub sebagai server MCP production-grade yang memberi Claude tool intelijen keamanan dari banyak API, mencakup lookup CVE, skor EPSS, CISA KEV, MITRE ATT&CK, Shodan, VirusTotal, dan lainnya. Saat artikel ini ditulis, proyek ini memegang 1.674 bintang dan 271 fork di GitHub, dan dibuat pada 14 April 2026. Tonton sinyal repo 30 detiknya: Turn Claude into an Automated CVE Analyst.
Poin Utama
CVE MCP Server memberi Claude katalog 28 tool keamanan dari 24 sumber data, dengan orkestrator sekali panggil bernama `triage_cve`.
Skor risikonya menggabungkan CVSS, EPSS, status CISA KEV, dan ketersediaan proof-of-concept menjadi skor 0 sampai 100, dengan aturan keras yang menjaga setiap CVE di daftar KEV tetap CRITICAL.
Delapan tool bisa dipakai tanpa API key sama sekali, jadi kamu bisa mulai gratis dan menambah key belakangan untuk limit yang lebih tinggi dan sumber tambahan.
Tool ini hanya untuk lookup dan intelijen: ia tidak memindai infrastruktur kamu secara aktif atau mengubah apa pun di dalamnya.
Instalasinya adalah instalasi Python standar plus satu entri server MCP di Claude Desktop atau Claude Code.
Apa Itu CVE MCP Server?
MCP adalah protokol terbuka yang memungkinkan asisten AI memanggil tool eksternal dengan cara standar. CVE MCP Server adalah server Python yang dibangun dengan FastMCP dan mengekspos tool keamanan lewat protokol itu. Hubungkan ke Claude Desktop atau Claude Code, dan Claude bisa memanggil tool tersebut langsung selama percakapan, tanpa kamu harus menempel data dari belasan situs ke dalam chat.
README proyek ini merumuskan masalahnya dengan jelas: men-triase satu CVE berarti mengkueri beberapa sumber dan mengorelasikannya secara manual, dan men-triase 50 CVE dengan cara itu menghabiskan satu hari penuh. Jawaban server ini adalah menyebar ke setiap sumber relevan secara paralel, menghitung skor risiko gabungan, dan mengembalikan rekomendasi yang sudah diprioritaskan beserta buktinya. Semua trafik hanya HTTPS keluar, tidak ada port masuk yang dibuka, dan API key dimuat dari environment variable dan tidak pernah dicatat, menurut catatan keamanan proyek (README CVE MCP Server).
Satu Panggilan Menuntaskan Triase: Kenalan dengan triage_cve
Bintang utama katalog ini adalah `triage_cve`, yang ditambahkan di versi 0.2.0. Alih-alih memanggil tool satu per satu, kamu meminta Claude men-triase sebuah CVE dan orkestrator ini menyebar ke NVD, EPSS, dan CISA KEV secara bersamaan, menambah penemuan proof-of-concept publik di level yang lebih dalam, menghitung skor risiko gabungan, dan mengembalikan laporan yang rapi. Ia menerima parameter `depth`: `quick`, `standard` (default), atau `deep`, di mana `deep` juga mengeluarkan keputusan SSVC v2, alternatif kualitatif untuk skor numerik.
Contoh Log4Shell di README menunjukkan alurnya. Untuk CVE-2021-44228, orkestrator menarik rekaman NVD (skor CVSS 3.1 10,0, CRITICAL), probabilitas EPSS, entri CISA KEV, dan ketersediaan proof-of-concept, lalu menghasilkan skor risiko 97 dari 100 dengan urgensi "patch segera". Itulah inti tawaran produk ini dalam satu panggilan: korelasi, bukan sekadar lookup.
Cara Kerja Skor Risiko
Satu angka hanya berguna kalau kamu bisa melihat cara ia dibangun. CVE MCP Server mempublikasikan formulanya, yaitu jumlah berbobot dari empat sinyal:
Komponen | Bobot | Yang ditangkap |
|---|---|---|
Skor dasar CVSS v3.1 | 20% | Tingkat keparahan terburuk secara teori |
Probabilitas EPSS | 35% | Kemungkinan eksploitasi secara statistik dalam 30 hari ke depan |
Status CISA KEV | 30% | Eksploitasi aktif yang terkonfirmasi di dunia nyata |
Ketersediaan proof-of-concept | 15% | Kode exploit publik menurunkan hambatan bagi penyerang |
EPSS memegang bobot tertinggi karena, menurut penalaran proyek itu sendiri, EPSS adalah prediktor terbaik untuk eksploitasi nyata, sementara CVSS saja menggambarkan keparahan, bukan kemungkinan. Pengali tambahan lalu menyesuaikan hasilnya: KEV plus proof-of-concept aktif mengalikan 1,15, CVSS 9,0 atau lebih tinggi dikombinasikan dengan EPSS di atas 0,7 mengalikan 1,10, dan CVE yang diterbitkan kurang dari 7 hari lalu mengalikan 1,05. Skor dibatasi maksimal 100.
Aturan terpenting adalah override keras KEV. CVE yang tercantum di CISA KEV terbukti dieksploitasi di dunia nyata, sehingga labelnya tidak pernah turun di bawah CRITICAL dan skornya dijaga minimal 76, terlepas dari CVSS atau EPSS. Pita hasilnya sederhana: 0 sampai 25 adalah LOW, 26 sampai 50 adalah MEDIUM, 51 sampai 75 adalah HIGH, dan 76 sampai 100 adalah CRITICAL, dengan CRITICAL berarti patch dalam 24 sampai 48 jam.
Katalog Tool Lengkap
Di luar orkestrator, katalog ini mencakup enam area. Intelijen kerentanan inti menangani lookup dan pencarian CVE, skor EPSS, pemeriksaan KEV, penjelasan vektor CVSS, detail CWE, ekstraksi referensi, dan lookup massal hingga 20 CVE dalam satu panggilan. Intelijen exploit dan serangan mencari kode proof-of-concept publik, memetakan CVE ke teknik MITRE ATT&CK, dan menarik pola serangan CAPEC. Tool risiko dan pelaporan lanjutan menghitung skor, memberi peringkat daftar CVE, menampilkan CVE yang sedang tren, dan membuat laporan eksekutif.
Intelijen jaringan mencakup reputasi IP, pemeriksaan noise GreyNoise, lookup host Shodan, dan DNS pasif. Intelijen ancaman menambah lookup VirusTotal, pencarian MalwareBazaar, indikator compromise ThreatFox, dan lookup alamat ransomware. Terakhir, tool DevSecOps memindai dependensi paket lewat OSV.dev, mencari GitHub Security Advisories, dan memeriksa URL dengan URLScan.io. Totalnya, README mencantumkan 24 sumber data, dari NVD dan EPSS sampai advisori MSRC, Red Hat, dan Ubuntu, plus VulnCheck NVD++ sebagai fallback otomatis saat NVD NIST melambat.
Memulai: Gratis Dulu, Key Belakangan
Instalasi mengikuti jalur Python standar. Kamu butuh Python 3.10 atau lebih baru (3.11 atau 3.12 disarankan), pip atau uv, dan Git. Clone repositori, buat virtual environment, instal dengan `pip install -e .`, salin `.env.example` menjadi `.env`, dan verifikasi server berjalan dengan `python -m cve_mcp.server`. Untuk Claude Desktop, tambahkan entri `cve-mcp` ke konfigurasi server MCP yang menunjuk ke server; untuk Claude Code, README memberi perintah satu baris `claude mcp add`.
Kejutan menyenangkannya adalah awal tanpa key. Delapan tool bekerja tanpa API key: EPSS, CISA KEV, OSV.dev, MITRE ATT&CK, lookup CWE, parsing CVSS, Ransomwhere, dan NVD dengan laju terbatas. Artinya kamu bisa langsung menguji server dengan pertanyaan seperti "Apa itu CVE-2021-44228? Apakah sedang dieksploitasi secara aktif?" dan baru menambah key saat menginginkan lebih. Key NVD gratis menaikkan limit NVD dari 5 menjadi 50 request per 30 detik, dan token GitHub menaikkan limit API GitHub dari 60 menjadi 5.000 request per jam. Tool lain butuh key masing-masing: AbuseIPDB, VirusTotal, GreyNoise, Shodan, dan URLScan.io masing-masing memerlukan satu key, dan DNS pasif CIRCL butuh akses mitra.
Yang Tidak Dilakukannya
Batasan yang jujur penting untuk tool keamanan, dan README menyatakannya dengan jelas. CVE MCP Server tidak melakukan pemindaian aktif: ia hanya intelijen dan lookup, dan tidak menyelidiki infrastruktur kamu. Ia tidak melakukan operasi tulis, kecuali pengiriman URLScan. Kalkulator CVSS bawaannya hanya menangani versi 3.1; skor 4.0 dari NVD ditampilkan tapi tidak dihitung ulang. Ada juga batasan upstream yang perlu diketahui: NVD mengembalikan maksimal 2.000 hasil per kueri, skor EPSS untuk CVE yang berumur kurang dari 24 jam mungkin belum tersedia, CISA KEV diperbarui hanya pada hari kerja AS, dan tier komunitas GreyNoise mengizinkan 50 kueri per minggu.
Dari sisi privasi, desainnya menenangkan untuk tool yang menangani kueri sensitif. ID CVE, IP, hash, domain, dan nama paket dikirim ke API lookup masing-masing, tapi responsnya di-cache secara lokal di SQLite, rentang IP privat dan reserved diblokir sebelum panggilan eksternal apa pun, dan API key serta payload respons tidak pernah ditulis ke log audit. Setiap pemanggilan tool dicatat secara lokal beserta durasi dan statusnya, yang membantu kalau kamu perlu meninjau apa yang pernah dikueri.
Siapa yang Sebaiknya Mencobanya?
CVE MCP Server cocok untuk security engineer yang men-triase antrean kerentanan, developer yang memeriksa apakah upgrade dependensi bersifat mendesak, dan tim kecil yang belum mampu membeli platform intelijen ancaman komersial tapi tetap butuh jawaban yang diprioritaskan. Ia juga cocok untuk siapa pun yang sedang belajar manajemen kerentanan, karena formula skor risiko dan jejak bukti tool demi tool mengajarkan perbedaan antara keparahan, kemungkinan, dan eksploitasi yang terkonfirmasi. Kalau kamu sudah mengikuti berita kerentanan, penjelasan pendamping PHP2Shell Dijelaskan: Dua Celah Kritis PHP dan Cara Memperbaikinya menunjukkan mengapa perbedaan itu penting dalam praktik.
Ia kurang berguna kalau kamu butuh pemindaian aktif, pemantauan berkelanjutan dengan alert, atau integrasi SIEM: alert webhook untuk penambahan KEV dan ekspor STIX 2.1 tercantum sebagai rencana pengembangan, bukan fitur saat ini. Perlakukan ia sebagai asisten analis, bukan platform pemantauan.
Pertanyaan yang Sering Diajukan
Apakah CVE MCP Server gratis?
Ya. Proyek ini open source, dan delapan tool bekerja tanpa API key sama sekali. Key gratis opsional dari NVD, GitHub, AbuseIPDB, VirusTotal, GreyNoise, Shodan, dan lainnya membuka limit lebih tinggi dan tool tambahan.
Apakah ia bekerja dengan asisten AI selain Claude?
Ia adalah server MCP, sehingga klien apa pun yang kompatibel dengan MCP bisa memakainya pada prinsipnya, tapi README mendokumentasikan setup Claude Desktop dan Claude Code secara spesifik. Server ini juga mendukung transport HTTP streamable di versi 0.2.0, di samping transport stdio default.
Bisakah ia memindai server saya untuk mencari kerentanan?
Tidak. Ia hanya melakukan lookup ke API intelijen publik dan tidak menyelidiki infrastruktur kamu. Untuk pemeriksaan dependensi, ia memindai nama dan versi paket lewat OSV.dev, yang merupakan lookup data, bukan pemindaian jaringan.
Apa bedanya dengan sekadar bertanya ke Claude tentang sebuah CVE?
Tanpa tool, Claude menjawab dari data pelatihan, yang cepat basi di dunia keamanan. Dengan server ini, Claude mengkueri sumber live seperti NVD, EPSS, dan CISA KEV, lalu menggabungkannya menjadi rekomendasi berskor dan berdasar bukti. Bedanya adalah data terkini plus formula yang transparan.
Apakah data saya dikirim ke tempat lain selain API lookup?
Menurut README, trafik hanya HTTPS keluar, tanpa port masuk dan tanpa telemetri. Istilah kueri dikirim ke API yang relevan, respons di-cache secara lokal, dan key serta payload tidak pernah ditulis ke log audit.
Dari mana saya memulai?
Clone mukul975/cve-mcp-server, instal, tambahkan ke Claude, dan coba pertanyaan tanpa key dari README: tanyakan apakah sebuah CVE terkenal sedang dieksploitasi secara aktif, lalu periksa jejak bukti di balik jawabannya. Kalau skornya masuk akal, tambahkan key NVD gratis untuk throughput lookup 10 kali lipat.
Intinya
Triase CVE adalah masalah korelasi, dan korelasi adalah tepatnya hal yang dikuasai asisten AI dengan tool yang tepat. CVE MCP Server memberi Claude tool tersebut: 28 tool, dari 24 sumber, dengan formula penilaian yang dipublikasikan dan orkestrator sekali panggil yang mengubah kekhawatiran samar ("haruskah ini di-patch?") menjadi jawaban berperingkat. Mulai dengan tool gratis, tambah key sesuai kebutuhan, dan biarkan jejak bukti, bukan hype, yang menentukan apa yang di-patch lebih dulu.
Baca artikel ini dalam bahasa Inggris: CVE MCP Server: Turn Claude Into an Automated CVE Analyst.