Cognition 开源 Devin 漏洞修复插件：三类高危漏洞一次覆盖

发生了什么

插件包含 3 个技能：fix-php-vuln、fix-node-vuln 与 fix-gitlab-vuln，源代码在 GitHub 上以 MIT 协议开源。Cognition 把内部使用的修复流程打包成这组技能：先做只读盘点，再设批准关口，核对无误后改动，最后测试并提交 PR，目标是让一次修复覆盖尽量多的仓库。

三类漏洞各有出处：PHP2Shell 是 PHP 的两个严重远程代码执行漏洞 CVE-2026-109618 与 CVE-2026-109619；Node.js 10 月 21 日的安全发布修复 10 个 CVE，其中 4 个为高危，牵头的 Brotli 解码器漏洞 CVE-2026-111497 可导致远程代码执行；GitLab 的 CVE-2026-110264 是正则表达式编译器整数溢出，CVSS 评分 10.0，可导致未授权代码执行。

运行范围不只 Devin 一个：任何读取 SKILL.md 文件的编程智能体均可使用，包括 Claude Code、Codex、Cursor、GitHub Copilot、Gemini CLI 与 Windsurf。安装方式为 Devin 插件市场或 npx skills 命令，运行时需要 git、Shell、Docker 与镜像仓库访问权限；npx 安装路径要求 Node.js 22.20 或更高版本。

关键事实

1. 插件名为 Devin Vulnerability Fixes，3 个技能 fix-php-vuln、fix-node-vuln、fix-gitlab-vuln，MIT 协议开源，仓库为 CognitionAI/devin-vuln-fixes。
2. PHP2Shell 修复版本为 8.2.35、8.3.36、8.4.27 与 8.5.12；PHP 8.1 及更早版本无官方更新，仅 7.4、8.0 与 8.1 有源码回移植，PHP 本身称所有 Web 服务配置均面临风险。
3. Node.js 10 月 21 日安全发布修复 10 个 CVE、4 个高危；修复版本为 22.23.4、24.22.1 与 26.12.1；Node.js 20 及更早版本已停止维护，无修复版本。
4. GitLab CVE-2026-110264 影响自 7.0 起的 GitLab CE/EE，CVSS 10.0；GitLab.com 与 GitLab Dedicated 已修复，自建部署需自行升级。
5. 流程五步：只读盘点、批准关口、官方源核对版本与校验和、改前改后测试、每仓一个 PR；托管运行时、一体机与 Electron 应用只标记不修复；该插件未公布修复率基准，效果取决于测试覆盖。