무슨 일이 있었나
2026년 10월 22일, Cognition은 PHP2Shell(CVE-2026-109618/109619), Node.js 10월 21일 릴리스, GitLab CVE-2026-110264(CVSS 10.0)의 자동 수정을 지원하는 Devin Vulnerability Fixes 플러그인(MIT 라이선스, 3개의 Agent Skills)을 공개했습니다. 이 플러그인은 Dockerfiles, 베이스 이미지, OS 패키지, CI, Helm, Terraform 및 IaC 전반에 걸쳐 읽기 전용 인벤토리를 수행하고, 사용자 승인 후 편집을 게이트하며, 공식 소스에 대한 태그/다이제스트/체크섬을 검증하고, 새 프로덕션 이미지 내부에서 사전/사후 테스트를 수행하며, 저장소당 하나의 PR을 엽니다.
왜 중요한가
이 플러그인은 수정 워크플로우를 재사용 가능한 크로스 에이전트(Devin, Claude Code, Codex, Cursor, Gemini CLI)용 OSS 릴리스로 패키징하여, 의존성 전용 도구(Dependabot, Snyk)가 다루지 않는 런타임/인프라 레이어의 활발히 악용되는 RCE를 대상으로 합니다. 이는 이번 주 최고 심각도 공개 사항에 대한 에이전트 보안 자동화가 제품화된 구체적인 사례입니다.
적용 범위
PHP, Node.js 또는 자체 관리 GitLab을 운영하는 보안 및 플랫폼 엔지니어링 팀은 이 플러그인(또는 해당 인벤토리-테스트-승인-PR 흐름을 복제)을 사용하여 이러한 CVE를 해결해야 합니다. 검증 품질은 여전히 기존 테스트 커버리지에 의존하므로, 생성된 PR을 검토의 시작점으로 취급해야 합니다.