Cognition ha lanzado el plugin Devin Vulnerability Fixes, un conjunto gratuito y de código abierto de habilidades de agente. Se dirige a tres avisos críticos de ejecución remota de código (RCE). Cubren PHP2Shell, el boletín de seguridad de Node.js del 21 de octubre de 2026 y un bug de GitLab autoadministrado con CVSS 10.0. Las habilidades se ejecutan en Devin y en cualquier agente de código que lea archivos SKILL.md. Cognition empaquetó el flujo de trabajo de remediación que usó internamente. Los desarrolladores pueden hacer inventario, aprobar, parchear, probar y luego enviar 1 pull request por repositorio.
TL;DR
- Tamaño: Tres habilidades (
fix-php-vuln,fix-node-vuln,fix-gitlab-vuln), licencia MIT. - Funciona en: Devin, Claude Code, Codex, Cursor, Factory Droid, GitHub Copilot, Gemini CLI, OpenCode y Windsurf. Necesita git, un shell, Docker y acceso al registro. La
npx skillsinstalación requiere Node.js 22.20 o posterior. - Rendimiento: No se publica ningún benchmark de remediación ni cifra de tasa de corrección para el plugin.
- Mejor: Cubre el bug más grave de la semana, GitLab CVE-2026-110264, con calificación CVSS 10.0.
- Peor: La validación es tan sólida como tus pruebas. Los runtimes administrados, los appliances y las apps de Electron se marcan, pero no se parchean.
¿Qué es el plugin Devin Vulnerability Fixes?
El plugin Devin Vulnerability Fixes es un conjunto de tres Agent Skills de Cognition. Encuentran y corrigen despliegues vulnerables de PHP, Node.js y GitLab autoadministrado. El código fuente está en GitHub bajo la licencia MIT. La página del producto de Cognition lo enumera como gratuito y de código abierto.
¿Qué vulnerabilidades corrige?
- PHP2Shell (CVE-2026-109618, CVE-2026-109619): PHP califica ambos fallos con CVSS v4.0 9.2. El primero corrompe la memoria tras una condición de falta de memoria. El segundo permite que un estado global obsoleto de una solicitud llegue a la siguiente. PHP dice que toda configuración que sirva web está en riesgo, con mod_php calificado como el de mayor riesgo. Las versiones corregidas son 8.2.35, 8.3.36, 8.4.27 y 8.5.12. PHP 8.1 y anteriores no reciben versiones nuevas, solo backports de código fuente para 7.4, 8.0 y 8.1.
- Lanzamiento de Node.js de octubre de 2026: Corrige 10 CVE, 4 calificados como High. El fallo principal, CVE-2026-111497, es una escritura fuera de los límites en el decodificador Brotli que puede permitir RCE. Las versiones corregidas son 22.23.4, 24.22.1 y 26.12.1. Node.js 20 y anteriores están al final de su vida útil y no reciben corrección.
- GitLab CVE-2026-110264: Un desbordamiento de enteros en el compilador de expresiones regulares permite ejecución de código sin autenticación. Afecta a GitLab CE/EE desde la versión 7.0 en adelante y tiene una puntuación CVSS de 10.0. GitLab.com y GitLab Dedicated ya están corregidos.
¿Cómo funciona el plugin?
Cada skill sigue la misma forma de cinco pasos:
- Inventario de solo lectura: El agente escanea Dockerfiles, imágenes base, paquetes de la distro, CI, Helm, Terraform, Packer, Lambda y gestión de configuración.
- Puerta de aprobación: Nada cambia hasta que seleccionas repositorios. Las actualizaciones menores o mayores más riesgosas se señalan primero.
- Objetivo verificado: Cada etiqueta, digest, versión de paquete y checksum se confirma contra la fuente oficial antes de editar.
- Pruebas antes y después: La suite se ejecuta en la versión actual y luego dentro de la nueva imagen de producción. Las regresiones detienen la ejecución.
- Un PR por repositorio: Cada PR incluye versiones, resultados de pruebas, diferencias en tiempo de ejecución, una etiqueta de riesgo y un plan de reversión.
Las habilidades también codifican trampas conocidas del parcheo. Debian y Ubuntu aplican backport de correcciones sin cambiar las versiones upstream, por lo que php -v puede inducir a error. El paquete corregido de Ubuntu 24.04 es 8.3.6-0ubuntu0.24.04.13. Las imágenes ancladas por digest necesitan un nuevo digest. Cambiar el require.php de Composer no aplica ningún parche.
¿Cómo se instala y se ejecuta?
En Devin, abre Customize, luego Plugins, luego Browse Marketplace, y busca Vulnerability Fixes. El Devin CLI usa devin plugins install CognitionAI/devin-marketplace#plugins/devin-vuln-fixes. Para otros agentes, ejecuta npx skills add CognitionAI/devin-vuln-fixes. Los usuarios de Claude Code pueden añadir el marketplace y ejecutar /plugin install vuln-fixes@cognition-skills.
Luego pide en lenguaje natural, como «Por favor, arregla mi vulnerabilidad de PHP». Los comandos slash también funcionan: /fix-php-vuln, /fix-node-vuln y /fix-gitlab-vuln.
¿Cómo se compara con Dependabot, Copilot Autofix y Snyk Agent Fix?
| Característica | Devin Vulnerability Fixes | Dependabot security updates | GitHub Copilot Autofix | Snyk Agent Fix |
|---|---|---|---|---|
| Qué corrige | Versiones de PHP, Node.js y GitLab autogestionado para 3 avisos | Dependencias vulnerables con un parche disponible, además de GitHub Actions | Alertas de análisis de código | Hallazgos de Snyk Code |
| Dónde edita | Dockerfiles, imágenes, paquetes de distro, CI, Helm, Terraform, gestión de configuración | Manifest y lock files | Sugerencias de código en el repositorio | Correcciones de código en archivos locales; sin lógica compleja entre archivos |
| Aprobación antes de editar | Sí, primero un inventario de solo lectura | No: abre PRs automáticamente una vez habilitado | No revelado | El usuario hace clic en «Generate AI fix» y revisa |
| Validación | Pruebas antes y después dentro de la nueva imagen de producción | Puntuaciones de compatibilidad de ejecuciones de CI públicas | No revelado | Vuelve a probar la corrección con el motor de Snyk Code |
| Se ejecuta donde | Cualquier agente que lea SKILL.md | GitHub | GitHub | Interfaz web de Snyk y complementos de IDE |
| Licencia | MIT, código abierto | No divulgado | No divulgado | No divulgado |
| Costo | Gratis | Disponible para todos los repositorios de GitHub | Gratis en repositorios públicos; los repositorios privados requieren GitHub Code Security | Requiere Snyk Code; precio no divulgado |
Estas herramientas resuelven problemas adyacentes. Dependabot y los agentes de corrección de código trabajan sobre las dependencias de aplicaciones y el código fuente. El complemento de Cognition se dirige a la capa de ejecución: imágenes base, paquetes del sistema operativo e infraestructura como código.
Conclusiones clave
- Tres habilidades con licencia MIT corrigen las vulnerabilidades CVE de PHP2Shell, Node.js y GitLab CVE-2026-110264.
- Un inventario de solo lectura y una puerta de aprobación preceden a cualquier edición.
- Las pruebas se ejecutan antes y después dentro de la nueva imagen de producción.
- Funciona en Devin, Claude Code, Codex, Cursor y otros agentes SKILL.md.
- No hay un benchmark publicado de tasa de corrección; los resultados dependen de la cobertura de tus pruebas.
Echa un vistazo al repositorio de GitHub, la publicación del blog de Cognition y la página del complemento. Además, no dudes en seguirnos en Twitter y no olvides unirte a nuestro SubReddit de ML de más de 150k y suscribirte a nuestro boletín. ¡Espera! ¿estás en telegram? ahora también puedes unirte a nosotros en telegram.
¿Necesita asociarse con nosotros para promocionar su Repo de GitHub, Página de Hugging Face, Lanzamiento de Producto, Webinar, etc.? Conéctese con nosotros
La entrada Cognition publica como código abierto un plugin de agente que ayuda a proteger los sistemas frente a recientes amenazas de ciberseguridad apareció primero en MarkTechPost.