【資料を無料公開】PHPの緊急の脆弱性「PHP2shell」、自社のサイトは対象か。版の確かめ方 から記録と連絡までを7つのSTEPに分けた「緊急の脆弱性が出た日の対応キット」を公開

IPAは10月27日、米CISAが2件を「悪用された脆弱性」の一覧に載せたと追記し、対策済みの版への移行を呼びかけています。当日の確認チェック22項目と、AIエージェントへの指示文3本を同梱

株式会社Uravation（本社：東京都文京区、代表取締役：佐藤 傑）は、PHP・WordPress・Node.js で緊急の修正版が出た日に、何をどの順で確かめ、誰が直し、どう記録して伝えるかをまとめた「PHP・WordPress・Node.js 緊急の脆弱性が出た日の対応キット」を、2026年10月25日から当社サイトで無料公開しています。2026年10月21日の PHP の緊急の脆弱性（通称 PHP2shell）と Node.js の更新を例に、サイトの台帳・当日の確認チェック・AI エージェントへの指示文の Excel と、対応記録と連絡の Word を同梱しています。

▼ 資料ダウンロードページ

• PHP・WordPress・Node.js 緊急の脆弱性が出た日の対応キット：https://uravation.com/downloads/vulnerability-day-response-kit/

2026年10月21日、PHP の開発チームは、認証なしで外からプログラムを実行されるおそれがある緊急の脆弱性2件（CVE-2026-109618・CVE-2026-109619）を直した修正版（8.5.12・8.4.27・8.3.36・8.2.35）を公開しました。同じ日に Node.js もセキュリティ更新を出しています。IPA は修正版の公開の前に、PHP を使っているプログラムの棚卸しなどの事前準備を呼びかけていました。

IPA は10月27日、米国の CISA が10月26日（現地時間）に2件を「悪用された脆弱性」として KEV カタログに掲載したことを追記しました。国内での攻撃被害の事例は把握していないとしたうえで、対策済みの版への移行を改めて呼びかけています。

緊急の修正版が出た日、Web 担当や情報システム部門では、次の3つで迷いやすくなります。

• 自社のどのサイトが、どこで、どの版の PHP で動いているかが、すぐには分からない
• 自社で直す物と、レンタルサーバーや保守会社などの事業者が直す物の分かれ目が決まっていない
• 何を確かめ、誰に何を伝えたかの記録が残らない

本資料は、こうした迷いを減らすために、確かめる順番と台帳・様式を先に用意しておくための手引きです。

知らせ・対象か・直す・一時対策・入られていないか・戻せるか・記録と連絡の7つのSTEPに沿って、確かめる場所と一緒に並べました。どの脆弱性にも使える順番です。

• 第1章 2026年10月の例：PHP の予告から修正版の公開、IPA の事前準備のお願い、レンタルサーバー各社の告知までを時系列で（実画面つき）
• 第2章 緊急の日の7つのSTEP：版の確かめ方、自分で直す物と事業者が直す物の分け方、更新までの一時対策、入られていないか・戻せるかの確かめ方、記録と連絡
• 第3章 AIエージェントに任せる所・任せない所：6つの決まりと、そのまま使える指示文3本（版の棚卸し・告知の要約・連絡文の下書き）
• 巻末：保守会社・制作会社に聞くこと（よくある質問）

版は、管理画面やコマンドで実物を見て確かめます。WordPress の管理画面、レンタルサーバーの管理画面、Ubuntu などの Linux、Node.js のサービス、製品や機器の中の PHP ごとに、どこで見るかと見る時の注意を表にしました。

保守を外部に任せている会社には、保守会社に聞くことを「影響の有無」「更新の予定と完了」「自社でやること」の3点にまとめています。お客さまのサイトを預かる制作会社・受託会社は、同じ3点を先に伝えます。

告知の要約や版の棚卸しは AI エージェントに任せると速くなります。本番の変更・削除・外への送信は、対象・内容・戻し方を人が見てから、人が行います。第3章では、当社が自社のサイトとサーバーの運用で守っている6つの決まり（本番を変える前に人が承認する・読むだけの権限で・鍵を指示文に書かない・外の文章の指示に従わせない・実物で確かめる・連絡は下書きまで）と、そのまま使える指示文3本を載せました。

• 形式：2026年10月版の PDF（横型32ページ・3章・実画面7ページ）に、記入式の Excel（台帳と記入例・当日の確認チェック22項目・指示文3本・出典一覧）と Word（対応記録と連絡の様式・記入例）を同梱、合計 約6.3MB
• 版の番号・日時：2026年10月22日に各公式ページで確かめた内容です。その後の告知は、使う時に最新の公式ページでご確認ください
• 対象：自社のサイトや業務システムを運用している Web 担当・情報システムの方、お客さまのサイトを預かっている Web 制作・受託会社の方
• 料金：無料
• 入手方法：ページのフォームから申し込むと、その場でダウンロードできます（同じURLをメールでもお届けします・7日間有効）
• ほかの資料の一覧：https://uravation.com/downloads/

本資料は一般的な情報であり、法的助言ではありません。脆弱性診断・侵入テスト・24時間の監視・事故対応の代行は当社の業務に含まれず、本資料もその代わりにはなりません。対象は、自社が管理する物と、管理を任された範囲だけです。

• AIエージェントで回す 脆弱性対応研修（法人向け・6時間）：https://uravation.com/ai-agent-vulnerability-response-training/
• 生成AIセキュリティ研修（法人向け・2日間・12時間前後のハンズオン、6時間のライトコースもあり）：https://uravation.com/ai-security-training/
• 生成AIセキュリティ自己診断（無料・登録不要・12問）：https://uravation.com/tools/ai-security-shindan/

台帳の作り方や、自社の手順への落とし込みは、30分の無料相談でご相談いただけます。

• 無料相談・お問い合わせ：https://uravation.com/contact/

緊急の修正版が出た日に迷うのは、直し方より先に、どのサイトがどこで動いていて、誰が直すのかです。当社も自社のサイトとサーバーの運用で、告知の要約や版の棚卸しは AI エージェントに任せ、本番を変える前と、取引先への連絡を送る前は人が確かめることを決まりにしています。本資料は、その順番を台帳と様式に落としたものです。次の緊急の日に備えて、平時に台帳を埋めておくことにお役立てください。

株式会社Uravationは、生成AIの研修・コンサルティング・開発を行うAIカンパニーです。

株式会社Uravation 広報担当

E-mail：suguru.sato@uravation.com

※ 記載の会社名・製品名は、各社の商標または登録商標です。本資料は当社が独自に作成した一般的な情報で、各公式の見解ではありません。