Cognition은 다음을 공개했습니다. Devin Vulnerability Fixes 플러그인, 무료 오픈소스 에이전트 스킬 세트입니다. 이는 세 가지 치명적인 원격 코드 실행(RCE) 권고를 대상으로 하며, 다음을 포함합니다. PHP2Shell, Node.js 2026년 10월 21일 보안 릴리스 그리고 CVSS 10.0 자체 관리형 GitLab 버그. 이 스킬들은 Devin 및 SKILL.md 파일을 읽을 수 있는 모든 코딩 에이전트에서 실행됩니다. Cognition은 내부적으로 사용했던 remediation 워크플로를 패키징했습니다. 개발자는 인벤토리 작성, 승인, 패치, 테스트를 수행한 후 저장소당 1개의 풀 리퀘스트를 제출할 수 있습니다.
TL;DR
- Size: 세 개의 스킬 (
fix-php-vuln,fix-node-vuln,fix-gitlab-vuln), MIT 라이선스. - Runs on: Devin, Claude Code, Codex, Cursor, Factory Droid, GitHub Copilot, Gemini CLI, OpenCode 및 Windsurf. git, 셸, Docker 및 레지스트리 접근 권한이 필요합니다.
npx skills설치에는 Node.js 22.20 이상이 필요합니다. - Performance: 이 플러그인에 대한 remediation 벤치마크나 수정률 수치는 공개되지 않았습니다.
- Best: 이번 주 가장 심각한 버그인 CVSS 10.0 등급의 GitLab CVE-2026-110264를 다룹니다.
- Worst: 검증은 여러분의 테스트만큼 강력합니다. 관리형 런타임, 어플라이언스 및 Electron 앱은 표시만 되고 패치되지 않습니다.
Devin Vulnerability Fixes 플러그인이란 무엇인가?
Devin Vulnerability Fixes 플러그인은 세 개의 Agent Skills Cognition의 것으로 밝혀졌습니다. 그들은 취약한 PHP, Node.js 및 자체 관리형 GitLab 배포 환경을 찾아 패치하고 있습니다. 이 소스는 GitHub에 있습니다 MIT 라이선스에 따라 제공됩니다. Cognition의 제품 페이지 무료 오픈 소스로 소개하고 있습니다.
어떤 취약점을 수정하나요?
- PHP2Shell (CVE-2026-109618, CVE-2026-109619): PHP는 두 취약점 모두에 등급을 매긴다 CVSS v4.0 9.2. 첫 번째 버그는 메모리 부족 상태 이후 메모리를 손상시킵니다. 두 번째는 한 요청의 오래된 전역 상태가 다음 요청에 영향을 미치도록 합니다. PHP는 말합니다 모든 웹 서빙 환경은 위험에 노출되어 있습니다, mod_php가 가장 위험도가 높은 것으로 평가되었습니다. 수정 버전은 8.2.35, 8.3.36, 8.4.27 및 8.5.12입니다. PHP 8.1과 그 이전 버전은 별도의 릴리스가 없으며, 7.4, 8.0, 8.1에 대해서는 소스 백포트만 제공됩니다.
- Node.js 2026년 10월 릴리스: 수정 사항은 다음과 같습니다 CVE 10건, 그중 4건 High 등급. 주요 취약점인 CVE-2026-111497은 Brotli 디코더의 out-of-bounds write 취약점으로 RCE를 유발할 수 있습니다. 수정 버전은 22.23.4, 24.22.1 및 26.12.1입니다. Node.js 20과 그 이전 버전은 지원이 종료되어 수정 사항이 제공되지 않습니다.
- GitLab CVE-2026-110264: 정규 표현식 컴파일러의 정수 오버플로우로 인해 발생하는 취약점으로, 다음을 허용합니다. 인증되지 않은 코드 실행. 이 취약점은 7.0 이후 버전의 GitLab CE/EE에 영향을 미치며 CVSS 점수는 10.0입니다. GitLab.com과 GitLab Dedicated은 이미 패치되었습니다.
이 플러그인은 어떻게 작동하나요?
모든 스킬은 다음과 같은 동일한 5단계 구조를 따릅니다:
- 읽기 전용 인벤토리: 에이전트는 Dockerfile, 베이스 이미지, 배포판 패키지, CI, Helm, Terraform, Packer, Lambda 및 구성 관리를 스캔합니다.
- 승인 게이트: 사용자가 저장소를 선택하기 전까지는 아무것도 변경되지 않습니다. 위험도가 높은 마이너 또는 메이저 업그레이드가 먼저 표시됩니다.
- 검증된 대상: 모든 태그, 다이제스트, 패키지 버전 및 체크섬은 편집 전에 공식 소스를 통해 확인됩니다.
- 전후 테스트: 테스트 스위트는 현재 버전에서 실행된 후 새 프로덕션 이미지 내부에서 실행됩니다. 회귀가 발견되면 실행이 중단됩니다.
- 저장소당 하나의 PR: 각 PR은 버전, 테스트 결과, 런타임 diff, 위험 라벨 및 롤백 계획을 포함합니다.
이 기술들은 또한 알려진 패치 함정들을 코드에 담고 있습니다. Debian과 Ubuntu는 상위 버전을 변경하지 않고 수정 사항을 백포트하므로 php -v 은(는) 오해를 일으킬 수 있습니다. Ubuntu 24.04의 수정된 패키지 는 8.3.6-0ubuntu0.24.04.13입니다. 다이제스트가 고정된 이미지에는 새 다이제스트가 필요합니다. Composer의 require.php 을(를) 변경해도 아무것도 패치되지 않습니다.
설치 및 실행은 어떻게 하나요?
Devin에서 Customize를 연 다음, Plugins, 그다음 Browse Marketplace로 이동하여 Vulnerability Fixes를 검색하세요. 이 Devin CLI 사용 devin plugins install CognitionAI/devin-marketplace#plugins/devin-vuln-fixes. 다른 에이전트의 경우 다음을 실행합니다 npx skills add CognitionAI/devin-vuln-fixes. Claude Code 사용자는 마켓플레이스를 추가하고 다음을 실행할 수 있습니다 /plugin install vuln-fixes@cognition-skills.
그런 다음 ‘PHP 취약점을 수정해 주세요.’처럼 일상 언어로 요청하세요. 슬래시 명령어도 작동합니다: /fix-php-vuln, /fix-node-vuln 및 /fix-gitlab-vuln.
이것은 Dependabot, Copilot Autofix 및 Snyk Agent Fix와 어떻게 비교됩니까?
| 특집 | Devin 취약성 수정 | Dependabot 보안 업데이트 | GitHub Copilot Autofix | Snyk Agent Fix |
|---|---|---|---|---|
| 수정된 내용 | PHP, Node.js 및 자체 관리형 GitLab 버전에 대한 3건의 권고 | 패치가 제공되는 취약한 종속성, 그리고 GitHub Actions | 코드 스캐닝 알림 | Snyk Code 결과 |
| 편집이 이루어지는 위치 | Dockerfile, 이미지, 배포판 패키지, CI, Helm, Terraform, 구성 관리 | 매니페스트 및 잠금 파일 | 저장소에서의 코드 제안 | 로컬 파일 내 코드 수정; 복잡한 파일 간 로직 없음 |
| 편집 전 승인 | 네, 먼저 읽기 전용 인벤토리부터 시작합니다 | 아니요: 활성화되면 자동으로 PR을 엽니다 | 공개되지 않음 | 사용자가 'Generate AI fix'를 클릭하고 검토함 |
| 유효성 검사 | 새 프로덕션 이미지 내부의 이전/이후 테스트 | 공개 CI 실행의 호환성 점수 | 비공개 | Snyk Code 엔진으로 수정 사항 재테스트 |
| 실행 위치 | SKILL.md를 읽는 모든 에이전트 | GitHub | GitHub | Snyk 웹 UI 및 IDE 플러그인 |
| 라이선스 | MIT, 오픈 소스 | 공개되지 않음 | 공개되지 않음 | 공개되지 않음 |
| 비용 | 무료 | 모든 GitHub 저장소에서 사용 가능 | 공개 저장소는 무료; 비공개 저장소는 GitHub Code Security 필요 | Snyk Code 필요; 가격 비공개 |
이 도구들은 인접한 문제를 해결합니다. Dependabot과 코드 수정 에이전트는 애플리케이션 의존성과 소스 코드를 다루고, Cognition의 플러그인은 런타임 계층, 즉 베이스 이미지, OS 패키지, 인프라스트럭처 코드(infrastructure-as-code)를 대상으로 합니다.
핵심 요약
- MIT 라이선스의 3가지 스킬이 PHP2Shell, Node.js 및 GitLab CVE-2026-110264을 패치합니다.
- 편집 전에 읽기 전용 인벤토리와 승인 게이트가 먼저 수행됩니다.
- 새로운 프로덕션 이미지 내부에서 이전과 이후 테스트가 실행됩니다.
- Devin, Claude Code, Codex, Cursor 및 기타 SKILL.md 에이전트에서 작동합니다.
- 공개된 수정률 벤치마크는 없으며, 결과는 테스트 커버리지에 따라 달라집니다.
확인해 보세요: GitHub 저장소, Cognition 블로그 글 , 그리고 플러그인 페이지. 또한 저희를 Twitter 에서 팔로우하시고, 150k+ML SubReddit 에 합류하여 저희 뉴스레터를 구독하는 것도 잊지 마세요. 잠깐! 텔레그램을 사용하시나요? 이제 텔레그램에서도 저희와 함께하실 수 있습니다.
GitHub 저장소 OR Hugging Face 페이지 OR 제품 출시 OR 웨비나 등을 홍보하기 위해 저희와 파트너십이 필요하신가요? 저희에게 연락하세요
다음 글 Cognition, 최근 사이버 보안 위협으로부터 시스템을 보호하는 데 도움이 되는 에이전트 플러그인 오픈소스화 이 처음 게재된 곳은 MarkTechPost입니다.