PHP2Shell с CVSS 9.2 и октябрьский Node: skills патчей для Cursor

Редакция 22 октября 2026 г.

Разработчик прогоняет агента по репозиториям, чтобы найти устаревший PHP или Node и собрать патч-PR после security-релиза.

21 октября 2026 года PHP и Node.js выпустили security-релизы с риском удалённого выполнения кода: PHP2Shell — две критические дыры без логина с CVSS v4 9.2, у Node — десять CVE, четыре High. Cognition вынесла в открытый репозиторий тот же пятиступенчатый сценарий, что у Devin: инвентарь, апрув, патч, тесты, один PR на репозиторий — для Cursor через npx skills.

PHP2Shell

CVE-2026-109618 и CVE-2026-109619 бьют по рантайму PHP: переполнение памяти и «протекшее» глобальное состояние между запросами. Под ударом любой веб-PHP — PHP-FPM, mod_php (самый рискованный вариант у advisory), php-cgi, FrankenPHP и LiteSpeed.

Готовые сборки: 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Ветки 8.1 и старше новых тегов не получают — только source-level backports для 7.4, 8.0 и 8.1.

На Debian и Ubuntu номер в php -v не меняется: фикс сидит в пакете (Ubuntu 24.04 — 8.3.6-0ubuntu0.24.04.13, 22.04 — 8.1.2-1ubuntu2.28). Образ, зафиксированный по digest, нужно пересобрать с новым digest, а не просто сдвинуть тег. Поля require.php и platform.php в composer.json продовый PHP не переключают.

Node.js 21 октября

В приоритете CVE-2026-111497 — переполнение в Brotli-декодере с возможным RCE; особенно сервисы, которые принимают или распаковывают Brotli. Патч-версии: 22.23.4, 24.22.1 и 26.12.1.

Node 20 и ниже в EOL — в релиз не попали, нужен переход минимум на 22-ю линию. Вместе с рантаймом обновляются OpenSSL, Undici, SQLite и хранилище CA; после апгрейда имеет смысл прогнать исходящий TLS.

Skills для Cursor

Агент ищет PHP и Node в Dockerfile, CI (setup-php, setup-node, .nvmrc), Helm, Terraform и managed runtime — сначала только отчёт, без правок. После вашего апрува сверяет теги и checksum с advisory, гоняет тесты до и после, открывает один pull request с риск-лейблом и планом выката.

Установка: npx skills add CognitionAI/devin-vuln-fixes -a cursor (CLI npx skills — Node.js 22.20+).
Запуск: «Please fix my PHP vulnerability» или /fix-php-vuln, /fix-node-vuln.
Новые advisory: npx skills update.

Managed runtime и vendor appliances skills только помечают — патчит провайдер или вендор. Skills идут с полными правами локального агента; сценарий лучше прочитать до запуска.

Источник: Fixing Critical Node & PHP Flaws | Devin.