Cognition开源Devin漏洞修复插件，覆盖PHP、Node.js与GitLab三个高危漏洞

一句话看懂：Cognition 将内部使用的漏洞修复流程打包成三款开源 Agent Skills，免费提供给 Devin 及支持 SKILL.md 的编码 Agent，针对本周三个远程代码执行高危漏洞。

事件核心：发生了什么

2026 年 10 月 24 日，Cognition 发布 Devin Vulnerability Fixes 插件，MIT 许可，源码在 GitHub。插件包含 fix-php-vuln、fix-node-vuln、fix-gitlab-vuln 三个技能，分别对应 PHP2Shell（CVE-2026-109618、CVE-2026-109619，CVSS 9.2）、Node.js 10 月 21 日安全版本（修复 10 个 CVE，其中 4 个高危，含 Brotli 解码器越界写）以及自托管 GitLab 的 CVE-2026-110264（整数溢出导致未认证代码执行，CVSS 10.0）。技能可在 Devin、Claude Code、Codex、Cursor、GitHub Copilot、Gemini CLI 等 Agent 中运行，依赖 git、shell、Docker 和镜像仓库访问权限；npx 安装需 Node.js 22.20 以上。目前公开信息显示，官方未发布修复率或基准测试数据。

为什么重要

这三个漏洞影响面不小：PHP 官方称所有 Web 服务环境均受影响，mod_php 风险最高；GitLab 漏洞从 7.0 起影响 CE/EE，GitLab.com 和 Dedicated 已修复，自托管用户需自行处理。Cognition 把内部修复流程产品化并开源，意味着 Agent 不只是写代码，也开始承担安全运维中的“排查—审批—打补丁—测试—提 PR”链路。对 Agent 生态而言，SKILL.md 作为跨工具的技能格式，正在成为可复用的能力分发方式。

对用户/开发者/创作者的影响

开发者可用自然语言或 /fix-php-vuln 等命令触发，插件会先做只读清点（扫描 Dockerfile、Helm、Terraform、CI 等），经人工选择仓库后才改动，每仓库只开一个 PR，附带版本、测试结果和回滚方案。它编码了常见坑，例如 Debian/Ubuntu 回移植不改上游版本号，php -v 可能误导；Ubuntu 24.04 的修复包为 8.3.6-0ubuntu0.24.04.13。需注意：托管运行时、专用设备和 Electron 应用只会被标记，不会自动修复；验证强度取决于项目自身测试。与 Dependabot、Copilot Autofix、Snyk Agent Fix 相比，它更聚焦基础设施层版本与镜像，而非依赖清单。