Cognition Open-Sources ein Agent-Plugin, das Systeme gegen aktuelle Cybersecurity-Bedrohungen absichert

Cognition hat die Devin Vulnerability Fixes Pluginveröffentlicht, ein kostenloses Open-Source-Set von Agent Skills. Es richtet sich gegen drei kritische Remote-Code-Execution-(RCE)-Advisories. Diese betreffen PHP2Shell, die Node.js Sicherheitsveröffentlichung vom 21. Oktober 2026 und einen CVSS-10.0-Bug in selbst verwaltetem GitLab. Die Skills laufen in Devin und in jedem Coding-Agent, der SKILL.md-Dateien liest. Cognition hat den Remediation-Workflow, den es intern verwendete, verpackt. Entwickler können ein Inventar erstellen, freigeben, patchen, testen und dann 1 Pull Request pro Repository einreichen.

TL;DR

• Größe: Drei Skills (fix-php-vuln, fix-node-vuln, fix-gitlab-vuln), MIT-Lizenz.
• Läuft auf: Devin, Claude Code, Codex, Cursor, Factory Droid, GitHub Copilot, Gemini CLI, OpenCode und Windsurf. Benötigt git, eine Shell, Docker und Registry-Zugriff. Die npx skills Installation benötigt Node.js 22.20 oder neuer.
• Leistung: Für das Plugin wurde kein Remediation-Benchmark und keine Fix-Rate veröffentlicht.
• Bestens: Deckt den schwerwiegendsten Bug der Woche ab, GitLab CVE-2026-110264, bewertet mit CVSS 10.0.
• Schlechtestens: Die Validierung ist nur so stark wie Ihre Tests. Verwaltete Runtimes, Appliances und Electron-Apps werden markiert, aber nicht gepatcht.

Was ist das Devin Vulnerability Fixes Plugin?

Das Devin Vulnerability Fixes Plugin ist ein Satz von drei Agent Skills von Cognition. Sie finden und patchen verwundbare PHP-, Node.js- und selbst verwaltete GitLab-Installationen. Der Quellcode steht auf GitHub unter der MIT-Lizenz. Cognitions Produktseite führt es als kostenlos und Open Source.

Welche Schwachstellen behebt es?

• PHP2Shell (CVE-2026-109618, CVE-2026-109619): PHP stuft beide Schwachstellen mit CVSS v4.0 9.2ein. Die erste verursacht nach einer Out-of-Memory-Bedingung eine Speicherkorruption. Die zweite lässt veralteten globalen Zustand aus einer Anfrage in die nächste übergehen. PHP sagt, dass jedes Web-Hosting-Setup betroffen ist, wobei mod_php als am riskantesten eingestuft wird. Behobene Versionen sind 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Für PHP 8.1 und älter gibt es keine Releases, nur Source-Backports für 7.4, 8.0 und 8.1.
• Node.js Oktober-2026-Release: Es behebt 10 CVEs, davon 4 als High eingestuft. Der Hauptfehler, CVE-2026-111497, ist ein Out-of-Bounds-Write im Brotli-Decoder, der RCE ermöglichen kann. Behobene Versionen sind 22.23.4, 24.22.1 und 26.12.1. Node.js 20 und älter sind am Ende ihres Lebenszyklus und erhalten keinen Fix.
• GitLab CVE-2026-110264: Ein Integer-Overflow im Compiler für reguläre Ausdrücke erlaubt nicht authentifizierte Codeausführung. Er betrifft GitLab CE/EE ab Version 7.0 und wird mit CVSS 10.0 bewertet. GitLab.com und GitLab Dedicated sind bereits gepatcht.

Wie funktioniert das Plugin?

Jeder Skill folgt demselben fünfstufigen Ablauf:

1. Read-only-Inventur: Der Agent durchsucht Dockerfiles, Basis-Images, Distributionspakete, CI, Helm, Terraform, Packer, Lambda und Konfigurationsmanagement.
2. Freigabeschranke: Es ändert sich nichts, bis du Repos auswählst. Riskantere Minor- oder Major-Upgrades werden zuerst hervorgehoben.
3. Verifiziertes Ziel: Jeder Tag, Digest, jede Paketversion und jede Prüfsumme wird vor der Bearbeitung gegen die offizielle Quelle bestätigt.
4. Tests vorher und nachher: Die Testsuite läuft auf der aktuellen Version und dann innerhalb des neuen Produktions-Images. Regressionen stoppen den Lauf.
5. Ein PR pro Repo: Jeder PR enthält Versionen, Testergebnisse, Laufzeit-Diffs, ein Risikolabel und einen Rollback-Plan.

Die Skills kodieren auch bekannte Fallstricke beim Patchen. Debian und Ubuntu backporten Fixes, ohne die Upstream-Versionen zu ändern, daher kann php -v in die Irre führen. Das gepatchte Paket von Ubuntu 24.04 ist 8.3.6-0ubuntu0.24.04.13. Digest-gepinnte Images benötigen einen neuen Digest. Eine Änderung an Composers require.php patcht nichts.

Wie installiert und betreibt man es?

Öffnen Sie in Devin „Customize“, dann „Plugins“, dann „Browse Marketplace“, und suchen Sie nach „Vulnerability Fixes“. Die Devin CLI verwendet devin plugins install CognitionAI/devin-marketplace#plugins/devin-vuln-fixes. Führen Sie für andere Agents aus npx skills add CognitionAI/devin-vuln-fixes. Nutzer von Claude Code können den Marketplace hinzufügen und ausführen /plugin install vuln-fixes@cognition-skills.

Dann fragen Sie in einfacher Sprache, etwa: „Bitte behebe meine PHP-Schwachstelle.“ Slash-Befehle funktionieren ebenfalls: /fix-php-vuln, /fix-node-vuln und /fix-gitlab-vuln.

Wie schlägt es sich im Vergleich mit Dependabot, Copilot Autofix und Snyk Agent Fix?

Diese Tools lösen verwandte Probleme. Dependabot und die Code-Fix-Agents arbeiten an Anwendungsabhängigkeiten und Quellcode. Cognitions Plugin zielt auf die Runtime-Schicht ab: Base-Images, OS-Pakete und Infrastructure-as-Code.

Kernpunkte

• Drei MIT-lizenzierte Skills patchen PHP2Shell, Node.js und GitLab CVE-2026-110264.
• Ein Nur-Lese-Inventar und eine Genehmigungssperre kommen vor jeder Bearbeitung.
• Tests laufen innerhalb des neuen Produktions-Images vor und nach der Änderung.
• Funktioniert mit Devin, Claude Code, Codex, Cursor und anderen SKILL.md-Agents.
• Kein veröffentlichter Benchmark zur Fix-Rate; die Ergebnisse hängen von Ihrer Testabdeckung ab.

Schauen Sie sich das GitHub-Repoan, den Cognition-Blogpost und die Plugin-Seite. Außerdem können Sie uns gerne auf Twitter folgen, und vergessen Sie nicht, unserem 150k+ ML SubReddit beizutreten und unseren Newsletterzu abonnieren. Moment! Sind Sie auf Telegram? jetzt können Sie uns auch auf Telegram beitreten.

Möchten Sie mit uns zusammenarbeiten, um Ihr GitHub-Repo ODER Ihre Hugging Face-Seite ODER Ihre Produktveröffentlichung ODER Ihr Webinar usw. zu bewerben? Kontaktieren Sie uns

Der Beitrag Cognition veröffentlicht ein Agent-Plugin als Open Source, das hilft, Systeme gegen aktuelle Cybersecurity-Bedrohungen abzusichern erschien zuerst auf MarkTechPost.