Cognitionは、次のものをリリースしました: Devin Vulnerability Fixesプラグイン。これは無料のオープンソースのエージェントスキル群です。3つの深刻なリモートコード実行(RCE)アドバイザリに対応しています。対象は PHP2Shell、 Node.js 2026年10月21日のセキュリティリリース 、そして CVSS 10.0のセルフマネージドGitLabのバグです。これらのスキルはDevinや、 SKILL.mdファイルを読み込める任意のコーディングエージェントで実行できます。Cognitionは、 内部で使用していた修復ワークフローをパッケージ化しました。開発者はインベントリ調査、承認、パッチ適用、テストを行い、リポジトリごとに1つのプルリクエストを出すことができます。
TL;DR
- サイズ: 3つのスキル(
fix-php-vuln,fix-node-vuln,fix-gitlab-vuln)、MITライセンス。 - 動作環境: Devin、Claude Code、Codex、Cursor、Factory Droid、GitHub Copilot、Gemini CLI、OpenCode、Windsurf。git、シェル、Docker、レジストリへのアクセスが必要です。
npx skillsインストールにはNode.js 22.20以降が必要です。 - パフォーマンス: このプラグインについて公開されている修復ベンチマークや修正率の数値はありません。
- 長所: 今週最も深刻なバグ、CVSS 10.0に評価されたGitLab CVE-2026-110264に対応しています。
- 短所: 検証の強さはテスト次第です。マネージドランタイム、アプライアンス、Electronアプリは検出されますが、パッチは適用されません。
Devin Vulnerability Fixesプラグインとは何か?
Devin Vulnerability Fixesプラグインは、3つの Agent Skills Cognition 提供。同社は脆弱な PHP、Node.js およびセルフマネージドの GitLab デプロイメントを検出してパッチを適用している。この ソースは GitHub 上にあります MITライセンスの下で提供されています。Cognitionの 製品ページ フリーかつオープンソースとして掲載している。
どの脆弱性を修正するのか?
- PHP2Shell（CVE-2026-109618、CVE-2026-109619）: PHPは両方の脆弱性を同等に評価しています CVSS v4.0 9.2。1つ目はメモリ不足状態の後にメモリを破壊します。2つ目は、あるリクエストからの古いグローバル状態が次のリクエストに渡ってしまうものです。PHPは次のように述べています すべてのWebサーバー環境がリスクにさらされています。mod_phpが最も高いリスクと評価されています。修正済みバージョンは 8.2.35、8.3.36、8.4.27、8.5.12 です。PHP 8.1 以前はリリースがなく、7.4、8.0、8.1 に対するソースのバックポートのみが提供されます。
- Node.js 2026年10月リリース: 修正点は次のとおりです CVE 10件、うち4件はHigh評価主要な脆弱性である CVE-2026-111497 は、Brotli デコーダーのバッファ外書き(out-of-bounds write)で、RCE を引き起こす可能性があります。修正済みバージョンは 22.23.4、24.22.1、26.12.1 です。Node.js 20 以前は EOL を迎えており、修正は提供されません。
- GitLab CVE-2026-110264: 正規表現コンパイラにおける整数オーバーフローにより 認証されていないコード実行。これはGitLab CE/EEの7.0以降に影響し、CVSSは10.0と評価されています。GitLab.comとGitLab Dedicatedはすでにパッチが適用済みです。
このプラグインはどのように動作するのでしょうか?
すべてのスキルは次の 同じ5段階の構造:
- 読み取り専用インベントリ: エージェントはDockerfile、ベースイメージ、ディストリビューションパッケージ、CI、Helm、Terraform、Packer、Lambda、構成管理をスキャンします。
- 承認ゲート: リポジトリを選択するまで何も変わりません。リスクの高いマイナーまたはメジャーアップグレードが最初に表示されます。
- 検証済みターゲット: 編集の前に、すべてのタグ、ダイジェスト、パッケージのバージョン、チェックサムが公式ソースと照合されます。
- 前後でテストする: テストスイートは現行バージョン上で実行され、その後、新しい本番イメージ内でも実行されます。リグレッションが検出されると実行が停止します。
- 1リポジトリにつき1つのPR: 各PRにはバージョン、テスト結果、ランタイム差分、リスクラベル、ロールバック計画が含まれます。
これらのスキルには、既知のパッチ適用の落とし穴も組み込まれています。DebianとUbuntuは上流のバージョンを変更せずに修正をバックポートするため、 php -v は誤解を招く可能性があります。 Ubuntu 24.04の修正済みパッケージ は 8.3.6-0ubuntu0.24.04.13です。ダイジェスト固定のイメージには新しいダイジェストが必要です。Composerの require.php を変更しても何もパッチされません。
インストールと実行はどのように行うのですか?
Devinで「Customize」を開き、次に「Plugins」、続いて「Browse Marketplace」を開いて、「Vulnerability Fixes」を検索します。The Devin CLI 用途 devin plugins install CognitionAI/devin-marketplace#plugins/devin-vuln-fixes。他のエージェントの場合は、次を実行します npx skills add CognitionAI/devin-vuln-fixes。Claude Codeのユーザーはマーケットプレースを追加して、以下を実行できます /plugin install vuln-fixes@cognition-skills.
続いて、「PHPの脆弱性を修正してください」のように、平易な言葉で依頼します。スラッシュコマンドも使えます: /fix-php-vuln, /fix-node-vuln および /fix-gitlab-vuln.
Dependabot、Copilot Autofix、Snyk Agent Fixと比べるとどうですか?
| 特集 | Devinの脆弱性修正 | Dependabot セキュリティアップデート | GitHub Copilot Autofix | Snyk Agent Fix |
|---|---|---|---|---|
| 修正内容 | 3件のアドバイザリに関するPHP、Node.jsおよびセルフマネージドGitLabのバージョン | パッチが利用可能な脆弱な依存関係と GitHub Actions | コードスキャンによるアラート | Snyk Code の検出結果 |
| 編集が行われる場所 | Dockerfile、イメージ、ディストロパッケージ、CI、Helm、Terraform、構成管理 | マニフェストファイルとロックファイル | リポジトリ内のコード候補 | ローカルファイル内のコード修正。ファイル間にまたがる複雑なロジックは対象外 |
| 編集前の承認 | はい、まずは読み取り専用で在庫を確認します。 | いいえ: 有効にすると、PRが自動的にオープンされます | 非公開 | ユーザーが「Generate AI fix」をクリックして確認する |
| 検証 | 新しいプロダクションイメージ内部でのテストの前後実行 | 公開CIランからの互換性スコア | 非公開 | Snyk Code エンジンで修正を再テスト |
| 実行環境 | SKILL.md を読み取る任意のエージェント | GitHub | GitHub | Snyk Web UI および IDE プラグイン |
| ライセンス | MIT、オープンソース | 非公開 | 非公開 | 非公開 |
| コスト | 無料 | すべての GitHub リポジトリで利用可能 | パブリックリポジトリでは無料。プライベートリポジトリには GitHub Code Security が必要 | Snyk Code が必要。価格は非公開 |
これらのツールは隣接する問題を解決します。Dependabot とコード修正エージェントはアプリケーションの依存関係とソースコードを扱います。Cognition のプラグインはランタイム層を対象としています。ベースイメージ、OS パッケージ、infrastructure-as-code です。
要点
- MIT ライセンスの 3 つのスキルが、PHP2Shell、Node.js、GitLab CVE-2026-110264 にパッチを適用します。
- 読み取り専用のインベントリと承認ゲートが、編集の前に実行されます。
- 新しい本番イメージ内で、テストが前後に実行されます。
- Devin、Claude Code、Codex、Cursor、その他の SKILL.md エージェントで動作します。
- 公開された修正率のベンチマークはなく、結果はあなたのテストカバレッジに依存します。
ぜひチェックしてください: GitHub リポジトリ、 Cognition のブログ記事 、そして プラグインページ。また、お気軽に Twitter をフォローし、 150k+ML SubReddit に参加して ニュースレターを購読してください。お待ちください!Telegram をお使いですか? 现在Telegramにも参加できるようになりました。
GitHubリポジトリ、Hugging Faceページ、製品リリース、ウェビナーなどのプロモーションで弊社とのパートナーシップをご希望ですか？ 弊社にご連絡ください
本記事 Cognition、最近のサイバーセキュリティ脅威からシステムを保護するエージェントプラグインをオープンソース化 は最初に MarkTechPost.