Μία εβδομάδα με τρία σοβαρά κενά ασφαλείας σε ευρέως χρησιμοποιούμενο λογισμικό, και ένα από αυτά βαθμολογημένο με το μέγιστο 10,0 στην κλίμακα CVSS. Η Cognition, η εταιρεία πίσω από τον coding agent Devin, απαντά με ένα δωρεάν plugin ανοιχτού κώδικα: το Devin Vulnerability Fixes, όπως το περιγράφει το MarkTechPost.
Το plugin αποτελείται από τρεις «δεξιότητες» (skills), έτοιμες οδηγίες που ένας AI agent ακολουθεί βήμα βήμα: fix-php-vuln, fix-node-vuln και fix-gitlab-vuln. Κυκλοφορούν με άδεια MIT. Δουλεύουν στο Devin αλλά και σε κάθε agent που διαβάζει αρχεία SKILL.md, μεταξύ άλλων Claude Code, Codex, Cursor, GitHub Copilot, Gemini CLI και Windsurf. Η Cognition λέει ότι πακετάρισε τη διαδικασία που χρησιμοποίησε και η ίδια εσωτερικά.
Τα τρία κενά που στοχεύει
- PHP2Shell (CVE-2026-109618 και CVE-2026-109619): δύο ευπάθειες με βαθμό 9,2 στο CVSS v4.0. Η πρώτη προκαλεί φθορά μνήμης μετά από έλλειψη μνήμης, η δεύτερη αφήνει παλιά δεδομένα ενός αιτήματος να περάσουν στο επόμενο. Η PHP λέει ότι κινδυνεύει κάθε εγκατάσταση που σερβίρει web, με μεγαλύτερο κίνδυνο στο mod_php. Διορθώσεις: 8.2.35, 8.3.36, 8.4.27 και 8.5.12. Για την 8.1 και παλαιότερες δεν υπάρχουν εκδόσεις, μόνο backports του κώδικα για τις 7.4, 8.0 και 8.1.
- Node.js: η έκδοση ασφαλείας της 21ης Οκτωβρίου διορθώνει 10 CVE, τέσσερα από αυτά υψηλής σοβαρότητας. Το βασικό, CVE-2026-111497, είναι εγγραφή εκτός ορίων στον αποκωδικοποιητή Brotli και μπορεί να οδηγήσει σε εκτέλεση κώδικα από απόσταση. Διορθώσεις: 22.23.4, 24.22.1 και 26.12.1. Η Node.js 20 και οι παλαιότερες δεν υποστηρίζονται πια και δεν παίρνουν επιδιόρθωση.
- GitLab (CVE-2026-110264): υπερχείλιση ακεραίου στον μεταγλωττιστή κανονικών εκφράσεων επιτρέπει εκτέλεση κώδικα χωρίς ταυτοποίηση. Αφορά GitLab CE/EE από την 7.0 και μετά, με βαθμό 10,0. Το GitLab.com και το GitLab Dedicated έχουν ήδη επιδιορθωθεί, άρα το ρίσκο μένει στις εγκαταστάσεις που διαχειρίζονται οι ίδιες οι ομάδες.
Πέντε βήματα, με ανθρώπινη έγκριση πριν αλλάξει κάτι
Κάθε skill ακολουθεί την ίδια σειρά. Πρώτα ο agent σαρώνει χωρίς να αλλάξει τίποτα: Dockerfiles, βασικά images, πακέτα συστήματος, CI, Helm, Terraform, Packer, Lambda. Μετά ο χρήστης διαλέγει ποια repositories θα πειραχτούν, και οι πιο ριψοκίνδυνες αναβαθμίσεις επισημαίνονται εκ των προτέρων.
Πριν από κάθε επεξεργασία, ο agent επαληθεύει κάθε tag, digest, έκδοση πακέτου και checksum με την επίσημη πηγή. Τα τεστ τρέχουν δύο φορές, στην τρέχουσα έκδοση και μέσα στο νέο production image, και αν κάτι χαλάσει η διαδικασία σταματά. Στο τέλος βγαίνει ένα pull request ανά repository, με εκδόσεις, αποτελέσματα τεστ, διαφορές στο runtime, ετικέτα ρίσκου και σχέδιο επαναφοράς.
Τα skills έχουν κωδικοποιημένες και γνωστές παγίδες. Το Debian και το Ubuntu μεταφέρουν διορθώσεις χωρίς να αλλάζουν την αριθμό έκδοσης του upstream, οπότε η εντολή php -v μπορεί να παραπλανήσει. Τα images που είναι κλειδωμένα με digest χρειάζονται νέο digest. Η αλλαγή του require.php στο Composer δεν επιδιορθώνει τίποτα.
Εγκατάσταση και όρια
Στο Devin, το plugin βρίσκεται στο Marketplace, αναζητώντας «Vulnerability Fixes». Για άλλους agents αρκεί η εντολή npx skills add CognitionAI/devin-vuln-fixes, που απαιτεί Node.js 22.20 ή νεότερη. Χρειάζονται επίσης git, shell, Docker και πρόσβαση σε registry. Το αίτημα μπορεί να είναι απλό, όπως «Please fix my PHP vulnerability», ή με εντολές όπως /fix-php-vuln.
Το MarkTechPost σημειώνει ότι δεν δημοσιεύεται καμία μέτρηση ποσοστού επιτυχίας. Ο έλεγχος είναι τόσο καλός όσο τα τεστ του ίδιου του έργου. Τα managed runtimes, οι συσκευές appliance και οι εφαρμογές Electron επισημαίνονται, δεν επιδιορθώνονται. Το plugin δεν ανταγωνίζεται εργαλεία όπως το Dependabot, που δουλεύουν στις εξαρτήσεις και στον κώδικα εφαρμογής. Στοχεύει το επίπεδο από κάτω: base images, πακέτα συστήματος και infrastructure-as-code.
Για το ίδιο θέμα από άλλη πλευρά, τα μοντέλα GPT-5.6 Sol και Gemini 4 Argon είχαν εντοπίσει κρίσιμο κενό της PHP πριν από τους επιτιθέμενους.
Πηγή: MarkTechPost
