何が起きたか
2026年10月22日、CognitionはDevin脆弱性修正プラグイン（MITライセンス、3つのAgent Skills）を公開しました。これは、PHP2Shell（CVE-2026-109618/109619）、Node.jsの10月21日リリース、およびGitLab CVE-2026-110264（CVSS 10.0）の修正を自動化します。このプラグインは、Dockerfile、ベースイメージ、OSパッケージ、CI、Helm、Terraform、IaCを読み取り専用でインベントリし、ユーザー承認の背後で編集をゲートし、公式ソースに対してタグ/ダイジェスト/チェックサムを検証し、新しい本番イメージ内で前後のテストを実行し、リポジトリごとに1つのPRを開きます。
なぜ重要か
これは修正ワークフローを再利用可能な、クロスエージェント（Devin、Claude Code、Codex、Cursor、Gemini CLI）向けOSSリリースにパッケージ化し、依存関係のみのツール（Dependabot、Snyk）がカバーしないランタイム/インフラレイヤーでのライブで活発に悪用されているRCEを対象としています。これは、その週の最高深刻度の開示に対してエージェント型セキュリティ自動化が製品化された具体的な例です。
適用範囲
PHP、Node.js、または自己管理型GitLabを運用するセキュリティおよびプラットフォームエンジニアリングチームは、このプラグインを使用（またはそのインベントリ-テスト-承認-PRフローを複製）してこれらのCVEを解決すべきです。検証品質は既存のテストカバレッジに依存するため、生成されたPRはレビューの出発点として扱ってください。