Cognition ha lanzado el plugin de soluciones de vulnerabilidades de Devin, un conjunto gratuito y de código abierto de habilidades de agente. Se dirige a tres avisos críticos de ejecución de código remoto (RCE). Cubren PHP2Shell, el lanzamiento de seguridad de Node.js del 21 de octubre de 2026 y un error de GitLab autoadministrado con CVSS 10.0. Las habilidades se ejecutan en Devin y en cualquier agente de codificación que lea archivos SKILL.md. Cognition empaquetó el flujo de trabajo de remediación que utilizó internamente. Los desarrolladores pueden realizar inventario, aprobar, parchear, probar y luego enviar 1 solicitud de extracción por repositorio.
TL;DR
- Tamaño: Tres habilidades (
fix-php-vuln,fix-node-vuln,fix-gitlab-vuln), licencia MIT. - Se ejecuta en: Devin, Claude Code, Codex, Cursor, Factory Droid, GitHub Copilot, Gemini CLI, OpenCode y Windsurf. Necesita git, una shell, Docker y acceso al registro. La instalación de
npx skillsnecesita Node.js 22.20 o posterior. - Rendimiento: No se publica ninguna referencia de rendimiento de remediación o número de tasa de solución para el plugin.
- Lo mejor: Cubre el error más grave de la semana, GitLab CVE-2026-110264, calificado con CVSS 10.0.
- Lo peor: La validación es tan fuerte como tus pruebas. Los runtime administrados, los aparatos y las aplicaciones Electron se marcan, no se parchean.
¿Qué es el plugin de soluciones de vulnerabilidades de Devin?
El plugin de soluciones de vulnerabilidades de Devin es un conjunto de tres Habilidades de Agente de Cognition. Encuentran y parchean implementaciones vulnerables de PHP, Node.js y GitLab autoadministrado. El código fuente está en GitHub bajo la licencia MIT. La página de productos de Cognition lo enumera como gratuito y de código abierto.
¿Qué vulnerabilidades soluciona?
- PHP2Shell (CVE-2026-109618, CVE-2026-109619): PHP califica ambos errores con CVSS v4.0 9.2. El primero corrompe la memoria después de una condición de memoria agotada. El segundo permite que el estado global estancado de una solicitud alcance la siguiente. PHP dice que cada configuración de servidor web está en riesgo, con mod_php calificado como el de mayor riesgo. Las versiones corregidas son 8.2.35, 8.3.36, 8.4.27 y 8.5.12. PHP 8.1 y versiones anteriores no reciben lanzamientos, solo backports de código fuente para 7.4, 8.0 y 8.1.
- Lanzamiento de Node.js de octubre de 2026: Corrige 10 CVE, 4 calificados como Alto. El error principal, CVE-2026-111497, es una escritura fuera de límites del decodificador Brotli que puede habilitar la ejecución de código remoto (RCE). Las versiones corregidas son 22.23.4, 24.22.1 y 26.12.1. Node.js 20 y versiones anteriores están al final de su vida útil y no reciben correcciones.
- GitLab CVE-2026-110264: Un desbordamiento de enteros en el compilador de expresiones regulares permite la ejecución de código no autenticado. Afecta a GitLab CE/EE desde la versión 7.0 en adelante y obtiene una puntuación CVSS de 10.0. GitLab.com y GitLab Dedicated ya están parcheados.
¿Cómo funciona el plugin?
Cada habilidad sigue la misma forma de cinco pasos:
- Inventario de solo lectura: El agente escanea Dockerfiles, imágenes base, paquetes de distribución, CI, Helm, Terraform, Packer, Lambda y administración de configuración.
- Puerta de aprobación: Nada cambia hasta que seleccione los repositorios. Las actualizaciones menores o mayores de mayor riesgo se destacan primero.
- Objetivo verificado: Cada etiqueta, suma de comprobación, versión de paquete y suma de comprobación se confirma contra la fuente oficial antes de editar.
- Prueba antes y después: La suite se ejecuta en la versión actual, luego dentro de la nueva imagen de producción. Las regresiones detienen la ejecución.
- Una solicitud de extracción por repositorio: Cada solicitud de extracción lleva versiones, resultados de pruebas, diferencias de tiempo de ejecución, una etiqueta de riesgo y un plan de reversión.
Las habilidades también codifican trampas de parches conocidas. Debian y Ubuntu realizan backports de correcciones sin cambiar las versiones upstream, por lo que php -v puede ser engañoso. El paquete corregido de Ubuntu 24.04 es 8.3.6-0ubuntu0.24.04.13. Las imágenes ancladas con suma de comprobación necesitan una nueva suma de comprobación. Cambiar require.php de Composer no parchea nada.
¿Cómo se instala y se ejecuta?
En Devin, abre Personalizar, luego Complementos, luego Navegar por el mercado, y busca Correcciones de vulnerabilidades. El Devin CLI utiliza devin plugins install CognitionAI/devin-marketplace#plugins/devin-vuln-fixes. Para otros agentes, ejecuta npx skills add CognitionAI/devin-vuln-fixes. Los usuarios de Claude Code pueden agregar el mercado y ejecutar /plugin install vuln-fixes@cognition-skills.
Luego pregunta en lenguaje plano, como ‘Por favor, corrige mi vulnerabilidad de PHP.’ Los comandos de barra también funcionan: /fix-php-vuln, /fix-node-vuln y /fix-gitlab-vuln.
¿Cómo se compara con Dependabot, Copilot Autofix y Snyk Agent Fix?
| Característica | Correcciones de vulnerabilidades de Devin | Actualizaciones de seguridad de Dependabot | GitHub Copilot Autofix | Snyk Agent Fix |
|---|---|---|---|---|
| Qué corrige | PHP, Node.js y versiones de GitLab autoadministradas para 3 asesorías | Dependencias vulnerables con un parche disponible, además de GitHub Actions | Alertas de análisis de código | Resultados de Snyk Code |
| Dónde edita | Dockerfiles, imágenes, paquetes de distribución, CI, Helm, Terraform, administración de configuración | Archivos de manifiesto y bloqueo | Sugerencias de código en el repositorio | Correcciones de código de archivo local; sin lógica interarchivos compleja |
| Aprobación antes de editar | Sí, inventario de solo lectura primero | No: abre PR automáticamente una vez habilitado | No se divulga | El usuario hace clic en “Generar corrección de IA” y revisa |
| Validación | Pruebas antes y después dentro de la nueva imagen de producción | Puntuaciones de compatibilidad de ejecuciones de CI públicas | No se divulga | Vuelve a probar la corrección con el motor de Snyk Code |
| Se ejecuta dónde | Cualquier agente que lea SKILL.md | GitHub | GitHub | Interfaz web de Snyk y complementos de IDE |
| Licencia | MIT, de código abierto | No se divulga | No se divulga | No se divulga |
| Costo | Gratis | Disponible para todos los repositorios de GitHub | Gratis en repositorios públicos; los repositorios privados necesitan GitHub Code Security | Requiere Snyk Code; el precio no se divulga |
Estas herramientas resuelven problemas adyacentes. Dependabot y los agentes de código de reparación trabajan en dependencias de aplicaciones y código fuente. El plugin de Cognition se dirige a la capa de tiempo de ejecución: imágenes base, paquetes de sistema operativo e infraestructura como código.
Puntos clave
- Tres habilidades con licencia MIT parchean PHP2Shell, Node.js y GitLab CVE-2026-110264.
- Inventario de solo lectura y una puerta de aprobación antes de cualquier edición.
- Las pruebas se ejecutan antes y después dentro de la nueva imagen de producción.
- Funciona en Devin, Claude Code, Codex, Cursor y otros agentes SKILL.md.
- No hay una referencia de velocidad de reparación publicada; los resultados dependen de su cobertura de pruebas.
Consulte el repositorio de GitHub, el artículo del blog de Cognition y la página del plugin. Además, no dude en seguirnos en Twitter y no olvide unirse a nuestro SubReddit de 150k+ML y suscribirse a nuestro boletín. ¡Espera! ¿Estás en Telegram? Ahora también puedes unirte a nosotros en Telegram
¿Necesita asociarse con nosotros para promocionar su repositorio de GitHub o su página de Hugging Face o su lanzamiento de producto o seminario web, etc.? Conéctese con nosotros
La publicación Cognition abre el código de un plugin de agente que ayuda a proteger los sistemas contra las últimas amenazas de ciberseguridad apareció por primera vez en MarkTechPost.