Cognitionは、無料のオープンソースとなるエージェントスキル群「Devin Vulnerability Fixes」プラグインをリリースした。これは3件の重大なリモートコード実行（RCE）アドバイザリを対象としている。対象はPHP2Shell、2026年10月21日のNode.jsセキュリティリリース、そしてCVSS 10.0の自己管理型GitLabの脆弱性だ。これらのスキルはDevin上で動作し、またSKILL.mdファイルを読み込む任意のコーディングエージェントでも動作する。Cognitionは社内で使用していた修復ワークフローをパッケージ化した。開発者は棚卸し、承認、パッチ適用、テスト、そしてリポジトリごとに1つのプルリクエストを出す、という流れを実行できる。
TL;DR
規模：3つのスキル（fix-php-vuln、fix-node-vuln、fix-gitlab-vuln）、MITライセンス。
動作環境：Devin、Claude Code、Codex、Cursor、Factory Droid、GitHub Copilot、Gemini CLI、OpenCode、Windsurf。git、シェル、Docker、レジストリへのアクセスが必要。npx skillsインストールにはNode.js 22.20以降が必要。
性能：このプラグインについて修復ベンチマークや修復率の数値は公開されていない。
最良の点：今週最も深刻なバグであるGitLab CVE-2026-110264（CVSS 10.0）をカバーしている。
最悪の点：検証の強さはあなたのテスト次第である。マネージドランタイム、アプライアンス、Electronアプリはフラグが立てられるだけで、パッチは適用されない。
Devin Vulnerability Fixesプラグインとは何か？
Devin Vulnerability Fixesプラグインは、Cognitionによる3つのAgent Skillsのセットである。脆弱なPHP、Node.js、自己管理型GitLabのデプロイメントを発見し、パッチを適用する。ソースはGitHub上にあり、MITライセンスの下で公開されている。Cognitionの製品ページでは無料かつオープンソースとして掲載されている。
どの脆弱性を修正するのか？
PHP2Shell（CVE-2026-109618、CVE-2026-109619）：PHPは両方の欠陥をCVSS v4.0で9.2と評価している。1つ目はメモリ不足状態の後にメモリを破壊する。2つ目は、あるリクエストからの古いグローバル状態が次のリクエストに到達することを許す。PHPはすべてのWebサービング構成がリスクにさらされていると述べており、mod_phpが最もリスクが高いと評価されている。修正バージョンは8.2.35、8.3.36、8.4.27、8.5.12。PHP 8.1以前はリリースが提供されず、7.4、8.0、8.1向けのソースバックポートのみとなる。
Node.js 2026年10月リリース：10件のCVEを修正し、うち4件がHighと評価されている。主要なバグCVE-2026-111497はBrotliデコーダの境界外書き込みで、RCEを可能にする。修正バージョンは22.23.4、24.22.1、26.12.1。Node.js 20以前はサポート終了であり、修正は提供されない。
GitLab CVE-2026-110264：正規表現コンパイラにおける整数オーバーフローにより、未認証でのコード実行が可能になる。GitLab CE/EEの7.0以降に影響し、CVSS 10.0と評価されている。GitLab.comとGitLab Dedicatedはすでにパッチ適用済みである。
プラグインはどのように動作するのか？
各スキルは共通の5ステップの形に従う：
読み取り専用の棚卸し：エージェントはDockerfiles、ベースイメージ、ディストリビューションのパッケージ、CI、Helm、Terraform、Packer、Lambda、構成管理をスキャンする。
承認ゲート：リポジトリを選択するまで何も変更されない。リスクの高いマイナーまたはメジャーアップグレードが先に指摘される。
検証済みターゲット：すべてのタグ、ダイジェスト、パッケージバージョン、チェックサムは編集前に公式ソースと照合して確認される。
前後のテスト：テストスイートは現在のバージョンで実行され、その後新しい本番イメージ内で実行される。リグレッションが発生すると実行は停止する。
リポジトリごとに1つのPR：各PRにはバージョン、テスト結果、ランタイム差分、リスクラベル、ロールバック計画が含まれる。
これらのスキルは既知のパッチ適用の罠もエンコードしている。DebianとUbuntuはアップストリームのバージョンを変更せずに修正をバックポートするため、php -vは誤解を招く可能性がある。Ubuntu 24.04の修正パッケージは8.3.6-0ubuntu0.24.04.13である。ダイジェストで固定されたイメージには新しいダイジェストが必要だ。Composerのrequire.phpを変更しても何もパッチは当たらない。
どのようにインストールして実行するのか？
Devinでは、Customize、Plugins、Browse Marketplaceの順に開き、Vulnerability Fixesを検索する。Devin CLIではdevin plugins install CognitionAI/devin-marketplace#plugins/devin-vuln-fixesを使用する。他のエージェントではnpx skills add CognitionAI/devin-vuln-fixesを実行する。Claude Codeユーザーはマーケットプレイスを追加して/plugin install vuln-fixes@cognition-skillsを実行できる。
その後、「Please fix my PHP vulnerability.」のような平易な言葉で依頼する。スラッシュコマンドも使用可能だ：/fix-php-vuln、/fix-node-vuln、/fix-gitlab-vuln。
Dependabot、Copilot Autofix、Snyk Agent Fixとの比較
機能比較：Devin Vulnerability Fixesは3件のアドバイザリに対するPHP、Node.js、自己管理型GitLabのバージョンを修正する。Dependabotセキュリティアップデートは利用可能なパッチがある脆弱な依存関係とGitHub Actionsを修正する。GitHub Copilot Autofixはコードスキャンアラートを修正する。Snyk Agent FixはSnyk Codeの検出結果を修正する。
編集箇所：DevinプラグインはDockerfiles、イメージ、ディストリビューションパッケージ、CI、Helm、Terraform、構成管理に及ぶ。Dependabotはマニフェストとロックファイル。Copilot Autofixはリポジトリ内のコード提案。Snykはローカルファイルのコード修正で、複雑なファイル間ロジックは扱わない。
編集前の承認：Devinプラグインはまず読み取り専用の棚卸しを行う。Dependabotは有効化されると自動でPRを開く。Copilot Autofixは非公開。Snykはユーザーが「Generate AI fix」をクリックしてレビューする。
検証：Devinプラグインは新しい本番イメージ内で前後テストを行う。Dependabotは公開CI実行による互換性スコアを使用。Copilot Autofixは非公開。SnykはSnyk Codeエンジンで修正を再テストする。
動作場所：DevinプラグインはSKILL.mdを読み込む任意のエージェント。DependabotはGitHub。Copilot AutofixはGitHub。SnykはWeb UIとIDEプラグイン。
ライセンス：DevinプラグインはMITオープンソース。他の3つは非公開。
コスト：Devinプラグインは無料。DependabotはすべてのGitHubリポジトリで利用可能。Copilot Autofixは公開リポジトリで無料、プライベートリポジトリにはGitHub Code Securityが必要。SnykはSnyk Codeが必要で、価格は非公開。
これらのツールは隣接する問題を解決する。Dependabotとコード修正エージェントはアプリケーションの依存関係とソースコードを扱う。Cognitionのプラグインはランタイム層、つまりベースイメージ、OSパッケージ、インフラストラクチャ・アズ・コードを対象とする。
主なポイント
3つのMITライセンススキルがPHP2Shell、Node.js、GitLab CVE-2026-110264に対処する。
編集の前に読み取り専用の棚卸しと承認ゲートがある。
テストは新しい本番イメージ内で前後に実行される。
Devin、Claude Code、Codex、Cursor、その他のSKILL.mdエージェントで動作する。
公開された修復率ベンチマークはなく、結果はテストカバレッジに依存する。
GitHubリポジトリ、Cognitionのブログ記事、プラグインページをチェックしてほしい。また、Twitterをフォローし、15万人以上のML SubRedditへの参加とニュースレターの購読もお忘れなく。待って！Telegramもやっている？今ならTelegramにも参加できる。
GitHubリポジトリ、Hugging Faceページ、製品リリース、ウェビナーなどのプロモーションで提携したい場合は、こちらから連絡してほしい。