Cognition apre il codice di Devin Vulnerability Fixes per tre RCE critiche
Testo scritto con l’intelligenza artificiale a partire da una fonte citata, senza revisione umana prima della pubblicazione.
Il plugin open source fornisce tre skill per automatizzare inventario, patch e una singola pull request contro PHP2Shell, il fix Node.js del 21 ottobre 2026 e la CVE-2026-110264 di GitLab.
Cognition rilascia Devin Vulnerability Fixes, un plugin open source che automatizza le patch per tre esecuzioni di codice da remoto: PHP2Shell, il rilascio di sicurezza di Node.js del 21 ottobre 2026 e una falla su GitLab self‑managed con CVSS 10.0, identificata come CVE-2026-1102641.
Il pacchetto include tre skill: fix-php-vuln, fix-node-vuln e fix-gitlab-vuln. La licenza è MIT. Le skill girano in Devin e in agenti che leggono file SKILL.md. Cognition indica compatibilità con Claude Code, Codex, Cursor, Factory Droid, GitHub Copilot, Gemini CLI, OpenCode e Windsurf1.
L’azienda pubblica il proprio flusso di remediation, già usato internamente. Ogni skill segue lo stesso schema operativo:
- inventario
- approvazione
- patch
- test
- una pull request per repository1
L’attenzione più urgente riguarda GitLab. La vulnerabilità CVE-2026-110264 ha punteggio CVSS 10.0. Le altre due skill affrontano PHP2Shell e gli aggiornamenti collegati al rilascio di sicurezza di Node.js del 21 ottobre 20261.
Per l’installazione via npx serve Node.js 22.20 o successivo. Servono anche git, una shell, Docker e l’accesso a un registry1.
Cognition non pubblica benchmark di remediation né tassi di fix. La validazione dipende dai test presenti nei repository degli utenti1.
Il perimetro è definito. I runtime gestiti, le appliance e le applicazioni Electron vengono segnalati, non patchati1.
Il rilascio separa i casi d’uso in tre skill, una per ciascun advisory. Chi mantiene servizi PHP usa fix-php-vuln. Chi gestisce ecosistemi Node.js usa fix-node-vuln in relazione al rilascio del 21 ottobre 2026. Gli amministratori di istanze GitLab self‑managed adottano fix-gitlab-vuln per affrontare la CVE-2026-1102641.
La combinazione tra skill modulari e un workflow unico punta a dare un set di istruzioni coerente tra progetti diversi. Gli sviluppatori avviano lo stesso ciclo di lavoro, poi inviano una singola pull request per repository1.
Il plugin è gratuito e open source. Copre tre advisory di esecuzione di codice da remoto considerate critiche nella settimana del rilascio: PHP2Shell, il pacchetto di sicurezza di Node.js del 21 ottobre 2026 e il bug su GitLab self‑managed con punteggio CVSS 10.0. Le metriche di efficacia non sono pubbliche. Nei contesti gestiti e in alcune categorie di applicazioni il sistema segnala, non corregge: in quei casi resta necessario un intervento fuori dal perimetro automatico1.
Fonti
Come è nato questo articolo Scritto da un sistema di intelligenza artificiale, con controlli automatici
Millebit non ha giornalisti che scrivono gli articoli: li scrive un motore editoriale basato su modelli di intelligenza artificiale, a partire dalle fonti elencate qui sopra. Prima di uscire, ogni testo passa questi controlli:
- Fedeltà alle fonti. Un secondo passaggio toglie ogni affermazione che le fonti non sostengono. Valutazione su questo pezzo: 9/10.
- Anti-cliché. Un filtro scarta frasi fatte, enfasi e tic della prosa artificiale: superato.
- Giudizio editoriale. Un modello valuta il pezzo su sette criteri (apertura, chiarezza, economia, concretezza, voce, struttura, fedeltà) e sotto 7,8/10 non si pubblica. Questo articolo ha preso 8,0/10 dopo 2 revisioni.
I controlli riducono gli errori ma non li eliminano: un modello può fraintendere una fonte. Per le decisioni importanti, risali alla fonte originale. Se trovi un errore, segnalacelo.
Per vedere Millebit nelle notizie principali di Google, aggiungilo alle tue fonti preferite. Oppure segui l’edizione di oggi, il feed RSS o La Sintesi.