Автоматизация защиты от критических уязвимостей
Компания Cognition выпустила набор из трех открытых плагинов (Agent Skills) под лицензией MIT, предназначенных для автоматического исправления критических уязвимостей в инфраструктуре. Плагин Devin Vulnerability Fixes нацелен на три серьезные проблемы: PHP2Shell (CVE-2026-109618, CVE-2026-109619), критические баги в Node.js (октябрьский релиз 2026 года) и уязвимость GitLab с оценкой CVSS 10.0 (CVE-2026-110264).
Решение работает не только в собственном агенте Devin, но и в любых других coding-агентах, поддерживающих формат SKILL.md, включая Claude Code, Codex, Cursor, GitHub Copilot и Gemini CLI. Для установки требуется Node.js версии 22.20 или выше.
Три главные угрозы, которые закрывает плагин
Плагин специализируется на исправлении уязвимостей на уровне runtime и базовых образов, а не только в коде приложения. Вот ключевые детали затронутых проблем:
- PHP2Shell (CVSS 9.2): Уязвимости позволяют выполнить удаленный код через corruption памяти или утечку глобального состояния. Затронуты все веб-серверы на PHP. Исправленные версии: 8.2.35, 8.3.36, 8.4.27, 8.5.12. Версии старше 8.1 не получают бинарных патчей.
- Node.js (CVE-2026-111497): Ошибка в декодере Brotli приводит к записи за пределами буфера (RCE). Исправлены версии 22.23.4, 24.22.1 и 26.12.1. Версии 20 и ниже считаются устаревшими (EOL).
- GitLab (CVSS 10.0): Переполнение целочисленного типа в компиляторе регулярных выражений позволяет выполнять код без аутентификации. Затронуты GitLab CE/EE начиная с версии 7.0. Сервис GitLab.com уже защищен.
Механика работы: от инвентаризации до PR
В отличие от простых сканеров, плагин использует пятиэтапный процесс, который минимизирует риски ошибок:
- Read-only inventory: Агент сканирует Dockerfiles, Helm, Terraform и CI/CD конфигурации, не внося изменений.
- Approval gate: Пользователь подтверждает репозитории для исправления. Агенты выделяют наиболее рискованные обновления (minor/major).
- Verified target: Проверка тегов, дайджестов и контрольных сумм против официальных источников.
- Test before and after: Запуск тестового набора на старой и новой версиях образов. Регрессии останавливают процесс.
- One PR per repo: Формирование единого pull-реквеста с результатами тестов, планом отката и метками рисков.
Сравнение с Dependabot и Snyk
Ключевое отличие Devin Vulnerability Fixes от Dependabot, GitHub Copilot Autofix и Snyk Agent Fix заключается в уровне воздействия. Если конкуренты работают с зависимостями приложения (package.json, lock-файлы) или кодом, то плагин Cognition воздействует на слой runtime и инфраструктуру (базовые образы, пакеты ОС, IaC).
| Функция | Devin Vulnerability Fixes | Dependabot / Copilot / Snyk |
|---|---|---|
| Объект исправления | Dockerfiles, образы, пакеты ОС, Helm, Terraform | Зависимости приложения, исходный код, локальные файлы |
| Проверка перед правкой | Да (read-only инвентаризация + утверждение) | Dependabot: авто-PR; Copilot/Snyk: просмотр |
| Валидация | Тесты внутри нового prod-образа | Совместимость CI, Snyk Code engine |
| Лицензия/Стоимость | MIT, бесплатно | Проприетарно, платные подписки для enterprise |
Почему это важно для разработчиков
Плагин решает проблему «скрытых» уязвимостей в инфраструктуре, которые часто игнорируются стандартными сканерами кода. Особое внимание уделено ловушкам дистрибутивов: например, Debian и Ubuntu часто применяют бэкпорты без изменения версии пакета в php -v, что может ввести в заблуждение. Плагин учитывает специфику дайджестов образов и конфигураций Composer.
Хотя Cognition не публикует метрик успешности патчинга (fix-rate), инструмент позволяет автоматизировать рутинную работу по обновлению критических компонентов, экономя время DevOps-инженеров и снижая риск человеческой ошибки при ручном обновлении сотен микросервисов.
Источник: MarkTechPost ↗