Cognition a publié le plugin Devin Vulnerability Fixes, un ensemble gratuit et open-source de compétences d'agent. Il cible trois avis critiques d'exécution de code à distance (RCE). Ils couvrent PHP2Shell, la mise à jour de sécurité Node.js du 21 octobre 2026 et un bug CVSS 10.0 de GitLab auto-géré. Les compétences s'exécutent dans Devin et dans tout agent de codage qui lit les fichiers SKILL.md. Cognition a empaqueté le flux de travail de remédiation qu'elle utilisait en interne. Les développeurs peuvent inventorier, approuver, corriger, tester, puis soumettre 1 pull request par dépôt.
TL;DR
- Taille : Trois compétences (
fix-php-vuln,fix-node-vuln,fix-gitlab-vuln), licence MIT. - Fonctionne sur : Devin, Claude Code, Codex, Cursor, Factory Droid, GitHub Copilot, Gemini CLI, OpenCode et Windsurf. Nécessite git, un shell, Docker et un accès au registre. L'
npx skillsinstallation nécessite Node.js 22.20 ou ultérieur. - Performance : Aucun benchmark de remédiation ni taux de correction n'est publié pour le plugin.
- Points forts : Couvre la faille la plus grave de la semaine, GitLab CVE-2026-110264, notée CVSS 10.0.
- Points faibles : La validation n'est aussi solide que vos tests. Les runtimes gérés, les appliances et les applications Electron sont signalés, pas corrigés.
Qu'est-ce que le plugin Devin Vulnerability Fixes ?
Le plugin Devin Vulnerability Fixes est un ensemble de trois compétences d'agent de Cognition. Ils trouvent et corrigent les déploiements vulnérables de PHP, Node.js et GitLab auto-gérés. Les la source est sur GitHub sous la licence MIT. Cognition's fiche produit le répertorie comme libre et open source.
Quelles vulnérabilités corrige-t-il ?
- PHP2Shell (CVE-2026-109618, CVE-2026-109619): PHP classe les deux failles CVSS v4.0 9.2« . La première corrompt la mémoire après une condition de mémoire insuffisante. La seconde laisse un état global obsolète d'une requête atteindre la suivante. PHP dit » chaque configuration de serveur web est à risque, avec mod_php classé comme risque le plus élevé. Les versions corrigées sont 8.2.35, 8.3.36, 8.4.27 et 8.5.12. PHP 8.1 et les versions antérieures ne reçoivent aucune publication, uniquement des rétroportages de code source pour 7.4, 8.0 et 8.1.
- Publication de Node.js d'octobre 2026: elle corrige 10 CVE, dont 4 classées High. Le principal bug, CVE-2026-111497, est une écriture hors limites dans le décodeur Brotli pouvant permettre une RCE. Les versions corrigées sont 22.23.4, 24.22.1 et 26.12.1. Node.js 20 et les versions antérieures sont en fin de vie et ne reçoivent aucun correctif.
- GitLab CVE-2026-110264: un dépassement d'entier dans le compilateur d'expressions régulières permet l'exécution de code sans authentification. Cela affecte GitLab CE/EE depuis la version 7.0 et obtient un score CVSS de 10.0. GitLab.com et GitLab Dedicated sont déjà corrigés.
Comment fonctionne le plugin ?
Chaque skill suit la même forme en cinq étapes:
- Inventaire en lecture seule: l'agent analyse les Dockerfiles, images de base, paquets de distribution, CI, Helm, Terraform, Packer, Lambda et gestion de configuration.
- Portail d'approbation: rien ne change tant que vous n'avez pas choisi les dépôts. Les mises à niveau mineures ou majeures plus risquées sont signalées en premier.
- Cible vérifiée: chaque tag, digest, version de paquet et checksum est confirmé auprès de la source officielle avant toute modification.
- Tests avant et après: la suite s'exécute sur la version actuelle, puis dans la nouvelle image de production. Les régressions interrompent l'exécution.
- Une PR par dépôt: Chaque PR contient des versions, des résultats de tests, des diffs d'exécution, une étiquette de risque et un plan de rollback.
Les skills encodent aussi les pièges connus du patching. Debian et Ubuntu rétroportent les correctifs sans modifier les versions amont, donc php -v peut induire en erreur. Le paquet corrigé d'Ubuntu 24.04 est 8.3.6-0ubuntu0.24.04.13. Les images épinglées par digest nécessitent un nouveau digest. Modifier le require.php de Composer ne corrige rien.
Comment l'installer et l'exécuter ?
Dans Devin, ouvrez Customize, puis Plugins, puis Browse Marketplace, et recherchez Vulnerability Fixes. L' Devin CLI utilise devin plugins install CognitionAI/devin-marketplace#plugins/devin-vuln-fixes. Pour d'autres agents, exécutez npx skills add CognitionAI/devin-vuln-fixes. Les utilisateurs de Claude Code peuvent ajouter le marketplace et exécuter /plugin install vuln-fixes@cognition-skills.
Demandez ensuite en langage naturel, par exemple « Please fix my PHP vulnerability. » Les commandes slash fonctionnent aussi : /fix-php-vuln, /fix-node-vuln et /fix-gitlab-vuln.
Comment se compare-t-il avec Dependabot, Copilot Autofix et Snyk Agent Fix ?
| Fonctionnalité | Devin Vulnerability Fixes | Dependabot security updates | GitHub Copilot Autofix | Snyk Agent Fix |
|---|---|---|---|---|
| Ce qu'il corrige | versions PHP, Node.js et GitLab auto-gérées pour 3 avis de sécurité | Dépendances vulnérables avec un correctif disponible, plus GitHub Actions | Alertes de scan de code | Constatations Snyk Code |
| Où il effectue les modifications | Dockerfiles, images, paquets de distribution, CI, Helm, Terraform, gestion de configuration | Fichiers manifest et lock | Suggestions de code dans le dépôt | Corrections de code dans des fichiers locaux ; pas de logique complexe inter-fichiers |
| Approbation avant modifications | Oui, inventaire en lecture seule d'abord | Non : ouvre des PR automatiquement une fois activé | Non communiqué | L'utilisateur clique sur « Generate AI fix » et révise |
| Validation | Tests avant et après dans la nouvelle image de production | Scores de compatibilité issus d'exécutions CI publiques | Non communiqué | Retester le correctif avec le moteur Snyk Code |
| S'exécute où | Tout agent qui lit SKILL.md | GitHub | GitHub | Interface web Snyk et plugins IDE |
| Licence | MIT, open source | Non divulgué | Non divulgué | Non divulgué |
| Coût | Gratuit | Disponible pour tous les dépôts GitHub | Gratuit sur les dépôts publics ; les dépôts privés nécessitent GitHub Code Security | Nécessite Snyk Code ; prix non divulgué |
Ces outils résolvent des problèmes adjacents. Dependabot et les agents de correction de code travaillent sur les dépendances applicatives et le code source. Le plugin de Cognition cible la couche d'exécution : images de base, paquets OS et infrastructure-as-code.
Points clés
- Trois skills sous licence MIT corrigent les CVE PHP2Shell, Node.js et GitLab CVE-2026-110264.
- Un inventaire en lecture seule et une porte d'approbation précèdent toute modification.
- Les tests s'exécutent avant et après dans la nouvelle image de production.
- Fonctionne avec Devin, Claude Code, Codex, Cursor et autres agents SKILL.md.
- Aucun benchmark de taux de correction publié ; les résultats dépendent de votre couverture de tests.
Découvrez le dépôt GitHub, l' article de blog de Cognition et la page du plugin. N'hésitez pas également à nous suivre sur Twitter et n'oubliez pas de rejoindre notre SubReddit 150k+ML et de vous abonner à notre Newsletter. Attendez ! êtes-vous sur telegram ? vous pouvez désormais nous rejoindre sur telegram également.
Besoin de vous associer à nous pour promouvoir votre dépôt GitHub OU votre page Hugging Face OU le lancement de votre produit OU un webinaire, etc. ? Contactez-nous
L'article Cognition open-source un plugin d'agent qui aide à sécuriser les systèmes contre les récentes menaces de cybersécurité est apparu en premier sur MarkTechPost.