Cognition 开源 Devin 漏洞修复插件，覆盖 PHP、Node.js 与 GitLab 三类高危漏洞

Cognition 开源 Devin 漏洞修复插件

Cognition 已发布 Devin Vulnerability Fixes 插件，这是一套免费、开源的 Agent Skills，针对三项远程代码执行（RCE）安全公告：PHP2Shell（CVE-2026-109618、CVE-2026-109619）、Node.js 2026 年 10 月 21 日安全版本，以及自管理 GitLab 的 CVE-2026-110264（CVSS 10.0）。插件包含 fix-php-vuln、fix-node-vuln、fix-gitlab-vuln 三个技能，采用 MIT 许可证，源码托管在 GitHub。据 Cognition 介绍，这套技能封装了其内部使用的修复流程。

背景与工作方式

每个技能遵循同一套五步流程：先做只读盘点，扫描 Dockerfile、基础镜像、发行版软件包、CI、Helm、Terraform、Packer、Lambda 与配置管理；随后设置审批环节，在用户选定仓库前不做任何改动；接着对照官方来源核验标签、摘要、包版本与校验和；再在新生产镜像内运行测试，出现回归即中止；最后每个仓库提交一个 PR，附带版本、测试结果、运行时差异、风险标签与回滚方案。插件还记录了已知的修补陷阱，例如 Debian 与 Ubuntu 会在不改变上游版本号的情况下回移修复，因此 php -v 的输出可能产生误导。按素材说明，插件可在 Devin、Claude Code、Codex、Cursor、Factory Droid、GitHub Copilot、Gemini CLI、OpenCode 与 Windsurf 中运行，需要 git、shell、Docker 与镜像仓库访问权限，npx skills install 需 Node.js 22.20 或更高版本。

限制与来源

素材未公布该插件的修复率或基准测试数据，其验证效果取决于使用者自身的测试覆盖程度；托管运行时、专用设备与 Electron 应用只会被标记，不会被自动修补。PHP 8.1 及更早版本没有正式发布版本，仅提供源码回移；Node.js 20 及更早版本已停止维护，不再获得修复。GitLab.com 与 GitLab Dedicated 据称已完成修补。本文信息来自 MarkTechPost 报道，具体功能、安装方式与支持范围请以 Cognition 官网及 GitHub 仓库当前信息为准。