Cognition presenta un plugin gratuito para corregir vulnerabilidades críticas con IA
Cognition, la empresa detrás del agente de programación con inteligencia artificial Devin, ha liberado Devin Vulnerability Fixes, un plugin gratuito y de código abierto diseñado para encontrar y corregir despliegues vulnerables de PHP, Node.js y GitLab autogestionado.
La herramienta se distribuye bajo licencia MIT y está formada por tres agent skills, cada una dedicada a una familia de vulnerabilidades de seguridad.
Su objetivo es facilitar la actualización de entornos afectados por fallos críticos de ejecución remota de código (RCE), una categoría de vulnerabilidad que puede permitir a un atacante ejecutar instrucciones en un sistema comprometido.
A diferencia de las herramientas centradas en dependencias de aplicaciones o problemas identificados mediante análisis de código, Devin Vulnerability Fixes trabaja sobre la infraestructura que ejecuta el software: imágenes base, paquetes del sistema operativo y configuraciones de despliegue.
El plugin está disponible en la página oficial de Cognition en Devin, mientras que su repositorio de código abierto contiene las skills y la documentación correspondiente.
Tres skills para PHP, Node.js y GitLab
Devin Vulnerability Fixes reúne tres componentes especializados:
- fix-php-vuln: identifica y corrige entornos afectados por PHP2Shell, que comprende las vulnerabilidades CVE-2026-109618 y CVE-2026-109619.
- fix-node-vuln: busca instalaciones vulnerables relacionadas con la actualización de seguridad de Node.js del 21 de octubre de 2026, incluido el fallo CVE-2026-111497.
- fix-gitlab-vuln: se ocupa de despliegues autogestionados de GitLab afectados por CVE-2026-110264.
Las tres skills comparten un procedimiento que comienza con un inventario de los repositorios y termina con propuestas de cambios documentadas, acompañadas de pruebas y un plan de reversión.
PHP2Shell: dos vulnerabilidades críticas que afectan a servidores web
La primera skill aborda PHP2Shell, nombre asociado a dos fallos de ejecución remota de código:
- CVE-2026-109618.
- CVE-2026-109619.
Ambas vulnerabilidades tienen una puntuación de 9.2 en CVSS v4.0.
Según PHP, cualquier configuración que utilice el lenguaje para atender solicitudes web está expuesta al riesgo, aunque los despliegues mediante mod_php presentan la mayor exposición.
Las versiones corregidas son:
| Rama de PHP | Versión corregida |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Las instalaciones de PHP 8.1 y anteriores ya no reciben nuevas versiones oficiales de mantenimiento. Sin embargo, existen backports del código fuente para las ramas 7.4, 8.0 y 8.1.
La skill fix-php-vuln está diseñada para identificar las instalaciones afectadas y determinar el objetivo de actualización adecuado según el entorno.
Uno de los aspectos que contempla es la diferencia entre las versiones oficiales de PHP y los paquetes modificados por las distribuciones Linux.
Node.js: diez vulnerabilidades corregidas en una actualización de seguridad
La segunda skill se centra en la actualización de seguridad de Node.js publicada el 21 de octubre de 2026.
Esta actualización aborda diez vulnerabilidades identificadas mediante CVE, cuatro de las cuales tienen gravedad alta.
Entre ellas destaca CVE-2026-111497, un fallo de escritura fuera de límites en el decodificador Brotli que puede permitir ejecución remota de código.
Las versiones de Node.js que incorporan las correcciones son:
| Rama de Node.js | Versión corregida |
|---|---|
| Node.js 22 | 22.23.4 |
| Node.js 24 | 24.22.1 |
| Node.js 26 | 26.12.1 |
Node.js 20 y las versiones anteriores se encuentran en fin de vida y no reciben correcciones para estos fallos.
La skill fix-node-vuln permite localizar repositorios y despliegues que utilizan versiones afectadas, verificar las actualizaciones disponibles y preparar los cambios correspondientes.
El procedimiento también identifica situaciones en las que una actualización entre versiones principales puede introducir riesgos adicionales de compatibilidad.
GitLab: un fallo crítico con puntuación CVSS 10.0
La tercera skill está dedicada a CVE-2026-110264, una vulnerabilidad crítica de GitLab.
El problema consiste en un desbordamiento de entero en el compilador de expresiones regulares que puede permitir ejecutar código sin autenticación.
La vulnerabilidad afecta a instalaciones autogestionadas de GitLab Community Edition (CE) y Enterprise Edition (EE), desde la versión 7.0.
Su puntuación es de 10.0 en CVSS, el máximo de la escala.
GitLab.com y GitLab Dedicated ya cuentan con las correcciones correspondientes, por lo que la skill se concentra en los entornos autogestionados.
fix-gitlab-vuln permite identificar las instalaciones afectadas y preparar los cambios necesarios en sus configuraciones de despliegue.
Cómo funciona Devin Vulnerability Fixes: cinco etapas de corrección
Las tres skills utilizan un proceso común que busca evitar modificaciones sin autorización, confirmar los componentes corregidos y comprobar el funcionamiento del software tras actualizarlo.
1. Inventario de solo lectura
El agente comienza examinando los repositorios y archivos de configuración sin modificar su contenido.
El inventario incluye:
- Dockerfiles e imágenes base.
- Paquetes de las distribuciones Linux.
- Configuraciones de integración continua (CI).
- Archivos y configuraciones de Helm.
- Infraestructura como código mediante Terraform.
- Configuraciones de Packer.
- Despliegues de AWS Lambda.
- Sistemas de gestión de configuración.
Este análisis permite localizar referencias a versiones vulnerables y reconocer los componentes que deberán actualizarse.
2. Aprobación antes de modificar archivos
Una vez completado el inventario, el agente se detiene y solicita la aprobación del usuario.
Ningún repositorio se modifica hasta que el usuario decide cuáles deben corregirse.
El proceso también identifica previamente las actualizaciones que implican cambios entre versiones menores o principales cuando presentan un riesgo superior.
De esta manera, el usuario puede distinguir las correcciones más directas de aquellas que podrían requerir una revisión adicional de compatibilidad.
3. Verificación de la versión de destino
Antes de editar un archivo, el agente comprueba que el componente de destino existe y corresponde a una versión corregida.
Esta validación incluye:
- Etiquetas de imágenes.
- Digests.
- Versiones de paquetes.
- Checksums.
Los elementos se contrastan con sus fuentes oficiales.
El propósito es trabajar con artefactos cuya corrección haya sido confirmada, en lugar de asumir que cualquier número de versión superior resuelve la vulnerabilidad.
4. Pruebas antes y después de actualizar
El procedimiento ejecuta la suite de pruebas sobre la versión actual para establecer una referencia inicial.
Después de aplicar la actualización, las pruebas vuelven a ejecutarse dentro de la nueva imagen utilizada en producción.
Esto permite comprobar el comportamiento de la aplicación en el entorno actualizado, incluyendo los cambios introducidos en la imagen base o en sus componentes.
Si aparecen regresiones, el proceso se detiene.
La validación está vinculada a las pruebas disponibles en los repositorios del usuario.
5. Un pull request por repositorio
Cuando se completa el proceso de corrección, el agente prepara un pull request (PR) independiente para cada repositorio.
Cada PR incluye:
- Versiones utilizadas en la corrección.
- Resultados de las pruebas.
- Diferencias entre los entornos de ejecución.
- Una etiqueta que identifica el nivel de riesgo.
- Un plan de reversión.
Esta estructura permite revisar los cambios individualmente y conservar la información necesaria para comprender qué se modificó y cómo revertirlo.
Tres errores de actualización que las skills tienen en cuenta
Además del proceso general, Cognition ha incorporado comportamientos específicos para evitar problemas habituales al corregir vulnerabilidades en entornos de producción.
Los backports de Debian y Ubuntu pueden confundir la detección
Las distribuciones Debian y Ubuntu pueden incorporar parches de seguridad en sus paquetes sin modificar el número de versión original del software.
Esto significa que consultar únicamente php -v puede ofrecer una impresión equivocada sobre el estado de seguridad de una instalación.
Un ejemplo es el paquete corregido de Ubuntu 24.04:
8.3.6-0ubuntu0.24.04.13
Aunque el número de versión upstream sea anterior al de una release oficial de PHP más reciente, el paquete de la distribución puede incorporar las correcciones mediante backports.
Por eso, las skills contemplan la información de los paquetes de la distribución al determinar si existe una vulnerabilidad.
Las imágenes fijadas mediante digest necesitan una referencia nueva
Cuando una imagen de contenedor está fijada por digest, modificar solamente una referencia de versión no garantiza que el despliegue utilice una imagen corregida.
Las skills identifican este tipo de configuración y contemplan la sustitución del digest por el correspondiente a la nueva imagen.
Cambiar una restricción de Composer no actualiza el runtime
Otro problema reconocido por el plugin es intentar corregir una vulnerabilidad de PHP modificando únicamente require.php de Composer.
Ese cambio no actualiza por sí mismo el intérprete PHP que ejecuta la aplicación.
La corrección debe dirigirse al runtime real, y no limitarse a una declaración de compatibilidad del proyecto.
Compatible con Devin, Claude Code, Codex, Cursor y otros agentes
Aunque Cognition ha desarrollado el plugin para Devin, su funcionamiento no depende exclusivamente de este agente.
Las skills se distribuyen mediante archivos SKILL.md, un formato que pueden interpretar diferentes herramientas de programación asistida por inteligencia artificial.
Entre los agentes compatibles se encuentran:
- Devin.
- Claude Code.
- Codex.
- Cursor.
- Factory Droid.
- GitHub Copilot.
- Gemini CLI.
- OpenCode.
- Windsurf.
Esta compatibilidad permite utilizar las mismas instrucciones de detección y corrección en distintos entornos de desarrollo.
Requisitos para utilizar el plugin
El funcionamiento de Devin Vulnerability Fixes requiere disponer de los elementos necesarios para inspeccionar repositorios, ejecutar comandos y validar las actualizaciones.
Los requisitos son:
- Git.
- Acceso a una shell.
- Docker.
- Acceso al registro de imágenes correspondiente.
Para instalar las skills mediante npx skills, también se necesita Node.js 22.20 o superior.
Cómo instalar Devin Vulnerability Fixes
Cognition ofrece diferentes vías de instalación según el agente de programación utilizado.
Instalación desde el marketplace de Devin
En la interfaz de Devin, se puede acceder a:
Customize > Plugins > Browse Marketplace
Una vez dentro, se busca:
Vulnerability Fixes
Desde allí se puede añadir el plugin al entorno de Devin.
Instalación mediante la CLI de Devin
La línea de comandos de Devin permite instalar el plugin mediante la siguiente instrucción:
devin plugins install CognitionAI/devin-marketplace#plugins/devin-vuln-fixes
Instalación para otros agentes compatibles
Las herramientas que admiten el formato de skills pueden utilizar:
npx skills add CognitionAI/devin-vuln-fixes
Esta opción utiliza el repositorio público de Cognition para incorporar las skills al entorno compatible.
Instalación en Claude Code
Claude Code permite utilizar el plugin mediante su sistema de marketplace.
Después de añadir el marketplace correspondiente de Cognition, se instala con el comando:
/plugin install vuln-fixes@cognition-skills
Cómo utilizar las skills para corregir vulnerabilidades
Una vez instalado el plugin, las skills pueden activarse mediante instrucciones en lenguaje natural.
Por ejemplo, para iniciar una revisión relacionada con PHP, se puede solicitar:
Please fix my PHP vulnerability
El agente interpreta la solicitud y utiliza la skill correspondiente.
También es posible invocar directamente cada componente mediante comandos específicos, cuando el agente admite este mecanismo:
| Comando | Función |
|---|---|
| /fix-php-vuln | Detectar y corregir vulnerabilidades relacionadas con PHP2Shell. |
| /fix-node-vuln | Revisar y corregir instalaciones vulnerables de Node.js. |
| /fix-gitlab-vuln | Trabajar sobre despliegues autogestionados afectados de GitLab. |
Independientemente de la forma de activación, el procedimiento conserva las etapas de inventario, aprobación, verificación y pruebas antes de preparar los cambios.
Diferencias frente a Dependabot, Copilot Autofix y Snyk Agent Fix
Devin Vulnerability Fixes aborda una capa de seguridad diferente a la que cubren otras herramientas de corrección asistida.
La distinción principal está en el tipo de componente que analiza cada solución.
| Herramienta | Principal ámbito de corrección |
|---|---|
| Devin Vulnerability Fixes | Runtimes, imágenes base, paquetes del sistema operativo e infraestructura como código. |
| Dependabot | Dependencias vulnerables y GitHub Actions. |
| GitHub Copilot Autofix | Problemas detectados mediante alertas de escaneo de código. |
| Snyk Agent Fix | Hallazgos identificados por Snyk Code. |
Mientras Dependabot se concentra en las dependencias y GitHub Actions, Copilot Autofix trabaja sobre alertas de análisis de código y Snyk Agent Fix utiliza los hallazgos de Snyk Code.
El plugin de Cognition se dirige específicamente a la capa donde se ejecutan las aplicaciones y a los archivos que determinan cómo se construye y despliega ese entorno.
Esta orientación resulta relevante para las vulnerabilidades de PHP, Node.js y GitLab contempladas en el lanzamiento, ya que su corrección puede requerir cambios en imágenes, paquetes e infraestructura, más allá del código de la aplicación.
Alcance y limitaciones del plugin
Devin Vulnerability Fixes tiene un alcance definido: identificar y preparar correcciones para los avisos de seguridad cubiertos por sus tres skills.
Cognition no ha publicado un benchmark de corrección ni una tasa de éxito del plugin que permita cuantificar su rendimiento.
Además, la validación de los cambios depende de la cobertura de pruebas disponible en los repositorios del usuario. El procedimiento ejecuta las pruebas antes y después de modificar el entorno, por lo que la amplitud de esa comprobación está relacionada con la suite existente.
También existen categorías de despliegue que las skills pueden identificar, pero no modificar automáticamente.
Entre ellas están:
- Runtimes gestionados.
- Appliances.
- Aplicaciones Electron.
En estos casos, el agente señala las instalaciones correspondientes sin aplicar una corrección directa.
Estas características delimitan la función del plugin como herramienta para inventariar, verificar, probar y preparar actualizaciones de los entornos compatibles.
En contexto: Cognition y Devin
Cognition es la empresa responsable de Devin, un agente de programación basado en inteligencia artificial.
Con Devin Vulnerability Fixes, la compañía pone a disposición de otros agentes de código un conjunto de skills especializadas en tres avisos críticos de seguridad que afectan a PHP, Node.js y GitLab autogestionado.
El lanzamiento combina distribución gratuita, licencia MIT y compatibilidad con diferentes herramientas que utilizan archivos SKILL.md.
La documentación oficial está disponible en la página de Vulnerability Fixes de Devin, y el código fuente puede consultarse en el repositorio público de CognitionAI.
