事件经过
2026年10月22日，Cognition发布了Devin Vulnerability Fixes插件（MIT许可证，包含三个Agent Skills），可自动修复PHP2Shell（CVE-2026-109618/109619）、Node.js 10月21日发布版本以及GitLab CVE-2026-110264（CVSS 10.0）。该插件对Dockerfile、基础镜像、操作系统包、CI、Helm、Terraform和IaC进行只读清单盘点，将编辑操作置于用户审批之后，对照官方来源验证标签/摘要/校验和，在新的生产镜像内进行前后测试，并为每个仓库生成一个PR。
影响分析
它将修复工作流打包为可复用的、跨智能体（Devin、Claude Code、Codex、Cursor、Gemini CLI）的开源发布，针对运行时/基础设施层中正在被积极利用的RCE漏洞，而仅依赖依赖项的工具（Dependabot、Snyk）无法覆盖这些漏洞。这是智能体安全自动化被产品化以应对当周最高严重性披露的一个具体示例。
适用范围
运行PHP、Node.js或自管理GitLab的安全和平台工程团队应使用该插件（或复制其清单-测试-审批-PR流程）来修复这些CVE；验证质量仍取决于现有测试覆盖，因此应将生成的PR视为审查的起点。