CVSS 10.0が週末に降ってきた──Cognitionが「脆弱性を直すDevin」のSkillを無料公開し、Claude CodeやCursorでも動くようにした
PHP・Node・GitLabの重大RCEが相次いだ直後、CognitionがDevinの「脆弱性を直すSkill」を無料・オープンソースで公開。Claude CodeやCursorなど70種以上のエージェントで動き、読み取り走査→承認→1PRで進む。だが「直しの鵜呑み」への警告も。
2026年10月21日、PHPとNode.jsがそろって「遠隔からコードを実行されうる」重大な脆弱性の修正版を公開しました。週をまたいでGitLabのセルフホスト版にもCVSS最高値の穴が見つかり、担当者の週末が消えた現場も少なくないはずです。その翌日、コーディングエージェントDevinを手がけるCognitionが、こうした修正作業をエージェントに任せるための拡張「Vulnerability Fixes」をオープンソース・無料で公開しました。目を引くのは、Devin専用ではなく、Claude CodeやCursorなど他社のエージェントでもそのまま動く点です。
「直し方」を3枚のSkillに畳んだ
この拡張は、エージェントに与える手順書である「Agent Skills」を3つ束ねたものです。扱う脆弱性と、安全とされる修正バージョンは次の通りです。いずれも未認証で遠隔コード実行につながりうる、優先度の高い穴です。
| Skill | 対象の脆弱性 | 深刻度 | 修正バージョン |
|---|---|---|---|
| fix-php-vuln | PHP2Shell（CVE-2026-109618 / 109619） | CVSS 9.2 | 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12（7.4・8.0・8.1はバックポート） |
| fix-node-vuln | Node.js 10月21日版（10件、うちHigh 4件。CVE-2026-111497はBrotli展開の領域外書き込みによるRCE） | High 4件を含む | 22.23.4 / 24.22.1 / 26.12.1（Node 20以前はEOLで未修正） |
| fix-gitlab-vuln | CVE-2026-110264（セルフホストのGitLab CE/EEの未認証RCE） | CVSS 10.0 | 18.11.13〜19.5.1 |
勝手に書き換えず、「下見→承認→PR」で進む
重大な穴ほど「とりあえず最新版に上げる」が事故を招きます。この拡張は、いきなりコードを触らず段階を踏む設計になっています。
- 読み取りのみの棚卸し: Dockerfile、ディストリのパッケージ、CIパイプライン、Helmの値、Terraformなどを横断して走査し、対象のランタイムがどこで動いているかを洗い出します。
- 承認の関所: 見つかった箇所を提示し、利用者が選ぶまで待ちます。メジャー・マイナーをまたぐ危険な更新には印を付けます。
- 裏取りした上での更新: 公式レジストリに対してタグ・ダイジェスト・チェックサムを照合してから書き換えます。
- 前後でのテスト: 既存のテストを更新前後の本番相当イメージで走らせ、挙動を比べます。
- リポジトリごとに1本のPR: バージョン比較・テスト結果・リスク表示・切り戻し手順を添えた、焦点を絞ったプルリクエストを開きます。
「全部まとめて一括更新」ではなく、1リポジトリ＝1PRに割る点が実務的です。レビューと切り戻しの単位がそろい、無人運用でも暴走しにくくなります。
Devin専用をやめたことの意味
この拡張は特別な独自形式ではなく、標準の「Agent Skills」（SKILL.mdを読む仕組み）で書かれています。そのためDevinだけでなく、Claude Code、Codex、Cursor、Factory Droid、GitHub Copilot、Gemini CLI、OpenCodeなど70種類以上のエージェントでそのまま動きます。導入も npx skills add CognitionAI/devin-vuln-fixes の一行、Claude Codeならプラグインとして追加できます。
Agent Skillsはもともとある企業が実装し、その後は中立の財団へ寄贈されて「共通規格」化が進んでいる仕組みです。今回のように、ある社が自社エージェント向けに書いた運用ノウハウが、競合も含む広いエコシステムへ即座に配れる──という具体例が出てきたことになります。緊急対応の「直し方」という、本来なら各社が囲い込みそうな資産が、規格を介して横展開されたわけです。
ビジネスとして効くところ
重大脆弱性の初動でコストがかかるのは、実のところ修正そのものより「どこで影響する版が動いているか」の棚卸しです。数十〜数百のリポジトリに散らばったDockerfileやCI設定を人手で洗うと、それだけで半日が溶けます。読み取り専用の走査でここを機械化し、修正は承認制・PR単位に落とす流れは、セキュリティ当番の負荷を目に見えて下げます。無料・オープンソースで、手元のサブスク内で動くエージェントに載せられるため、追加の購買稟議なしに試せる点も、導入のハードルを下げています。
便利さの裏で──「エージェントの直しを鵜呑みにしない」
一方で、公開元自身がいくつもの但し書きを添えています。一面的に「もう人手はいらない」と受け取るのは危険です。
- 検証できるのはテストが覆う範囲だけで、テストの薄いアプリは「リスク高」と明示されます。穴の有無をエージェントが保証してくれるわけではありません。
- マネージドサービスやベンダー製アプライアンスは、その場で書き換えず「確認のみ／ベンダー更新を待て」と報告する設計です。自動修正が万能でない前提が組み込まれています。
- Debian/Ubuntu系はバージョンを上げずにバックポートで修正するため、単純な版番号チェックは当てにならない、とも注意されています。
- 最も重い警告はDevin以外での利用について、です。公開元は「動かす前に必ずSkillを確認せよ。多くは手元で、Devinほどの隔離なしに、エージェントの全権限で走る」と明記しています。他人が書いた手順書をそのまま最高権限で実行することのリスクは、利用者側に残ります。
また修正バージョンは10月21日時点の勧告に固定されており、新しい修正に追従するには npx skills update を定期的に回す必要があります。便利な自動化ほど、「誰が・いつ・何を直したか」を人が追える状態を保つことが前提になります。
参照: Cognition / Devin Blog「Vulnerability Fixes Plugin」 ／ GitHub: CognitionAI/devin-vuln-fixes ／ MarkTechPost
