Cognition 开源漏洞修复 Skill：PHP2Shell

Cognition 在 2026-10-22 左右博客与 GitHub 放出 Vulnerability Fixes 插件（MIT，仓库 CognitionAI/devin-vuln-fixes）。内含三套标准 Agent Skills：修 PHP2Shell、修 Node.js 10 月 21 日安全发布（含高危 Brotli 等），以及自托管 GitLab RCE。Devin 可用，也可用 npx skills add CognitionAI/devin-vuln-fixes 装到 Claude Code、Codex、Cursor 等。

站内已有 PHP2Shell 快讯 与供应链自查教程；这套 Skill 把「扫全仓 + 开 PR」自动化。本地 Agent 权限等同你的 shell/git，跑前先审 Skill 内容。托管运行时、厂商 appliance、Electron 内嵌运行时通常只能提示，不能原地补。

PHP 临时缓解（如关掉 session.upload_progress）降暴露但不根治；文档明确不要用 RLIMIT_AS/RLIMIT_DATA 当缓解，反而会踩中漏洞路径。镜像若按 digest 钉死，要换新 digest 而不是只改 tag。站内供应链自查教程可与这套 Skill 搭配：Skill 负责开 PR，自查脚本负责依赖投毒面。

注意：补丁生效取决于你合并并重新部署；测试覆盖不足时 PR 会标明风险。本站未对真实业务仓实测。