据MarkTechPost 10月25日报道，Cognition已发布Devin Vulnerability Fixes插件，这是一套免费、开源的代理技能，用于修复近期三个远程代码执行高危漏洞，分别涉及PHP2Shell、Node.js 2026年10月21日安全版本以及一个CVSS评分为10.0的GitLab自管理版本漏洞。该插件采用MIT许可证，可在Devin以及任何能读取SKILL.md文件的编码代理中运行。
插件包含fix-php-vuln、fix-node-vuln和fix-gitlab-vuln三项技能，打包了Cognition内部使用的修复流程：先做只读清点，再由用户批准目标仓库，随后验证版本标签、镜像摘要、包版本和校验和，测试当前版本与新生产镜像，最后每个仓库提交一个拉取请求。每个请求附带版本、测试结果、运行时差异、风险标签和回滚方案。只读清点会扫描Dockerfile、基础镜像、发行版包、CI、Helm、Terraform、Packer、Lambda和配置管理文件。
PHP2Shell对应CVE-2026-109618和CVE-2026-109619，PHP评定CVSS v4.0为9.2。前者在内存耗尽后破坏内存，后者让一次请求的过期全局状态进入下一次请求。PHP称所有提供Web服务的部署均受影响，mod_php风险最高；修复版本为8.2.35、8.3.36、8.4.27和8.5.12。PHP 8.1及更早版本不再发布新版本，只为7.4、8.0和8.1提供源码回迁。
Node.js的10月发布修复10个CVE，其中4个为高危。主要漏洞CVE-2026-111497是Brotli解码器越界写入，可导致远程代码执行；修复版本为22.23.4、24.22.1和26.12.1，Node.js 20及更早版本已停止支持，不再获得修复。GitLab漏洞CVE-2026-110264源于正则表达式编译器的整数溢出，可让未认证者执行代码，影响GitLab CE/EE 7.0及以后版本，CVSS评分为10.0。GitLab.com和GitLab Dedicated已完成修补。
安装方面，Devin用户可在Customize的Plugins中进入市场搜索Vulnerability Fixes；其他代理可运行npx skills add CognitionAI/devin-vuln-fixes。使用npx安装需要Node.js 22.20或更高版本，运行环境需要git、shell、Docker和镜像仓库访问权限。插件还写入了若干修补陷阱：Debian和Ubuntu会回迁修复但不改变上游版本号，php -v可能误导；Ubuntu 24.04的修复包为8.3.6-0ubuntu0.24.04.13；固定摘要的镜像需要更换摘要；只修改Composer的require.php不会修补任何内容。
据MarkTechPost报道，插件没有公布修复基准或修复率数据，其验证强度取决于用户自身的测试。托管运行时、专用设备和Electron应用会被标记，但不会被修补。