株式会社Uravationは、PHP・WordPress・Node.jsで緊急の修正版が出た際の確認手順や役割分担、記録方法をまとめた「PHP・WordPress・Node.js 緊急の脆弱性が出た日の対応キット」を、2026年10月25日から同社サイトで無料公開しています。2026年10月21日に公開されたPHPの緊急の脆弱性（通称 PHP2shell）やNode.jsのセキュリティ更新を例として作成されました。サイトの台帳や確認チェック、AIエージェントへの指示文をまとめたExcel、対応記録と連絡用のWordなどが同梱されています。

脆弱性対応キット公開の背景

2026年10月21日、PHPの開発チームは認証なしで外部からプログラムを実行されるおそれがある2件の緊急脆弱性（CVE-2026-109618・CVE-2026-109619）の修正版（8.5.12・8.4.27・8.3.36・8.2.35）を公開し、同日にNode.jsもセキュリティ更新を実施しました。IPAは事前にプログラムの棚卸しを呼びかけたほか、米国のCISAが10月26日（現地時間）にこの2件をKEVカタログに掲載したことを受けて、国内での被害は把握していないとしつつ対策済み版への移行を求めています。緊急修正版の公開時には、稼働バージョンの把握や保守事業者との責任分界点の判断、対応記録の管理で混乱が生じやすいことから、事前に確認手順や台帳を準備するための手引きとして本資料が制作されました。

資料の構成と7つの対応ステップ

本資料は横型32ページのPDF（実画面7ページを含む3章構成）と記入式のExcel、Wordで構成されています。知らせ、対象か、直す、一時対策、入られていないか、戻せるか、記録と連絡という7つのSTEPに沿って確認事項が整理されています。

• 第1章：2026年10月のPHP修正版公開やIPAの呼びかけ、サーバー各社の告知などを時系列で解説
• 第2章：バージョンの確認方法、自社対応と事業者対応の切り分け、一時対策、記録と連絡などの7つのSTEP
• 第3章：AIエージェントに任せる範囲に関する6つのルールと、棚卸し・要約・連絡文下書き用の指示文3本
• 巻末：保守会社や制作会社への確認事項をまとめたFAQ

WordPressやレンタルサーバーの管理画面、Linux、Node.jsなどの環境ごとに確認方法と注意点が示されているほか、外部保守を利用する企業向けに「影響の有無」「更新の予定と完了」「自社でやること」の3点を確認・伝達する手順がまとめられています。

AIエージェント運用のルールと資料の概要

資料内では、告知要約やバージョン棚卸しをAIエージェントで行いつつ、本番環境の変更や外部送信は人が確認して実施するための運用ルールが提示されています。Uravationの代表取締役を務める佐藤 傑氏は、修正手順の前に稼働環境や対応担当者の把握で迷いが生じる点を指摘し、平時に台帳を整理しておくことへの活用を求めています。

本資料の概要は以下の通りです。

• 形式：PDF（横型32ページ）、Excel（台帳、記入例、確認チェック22項目、指示文3本、出典一覧）、Word（対応記録・連絡様式、記入例）、合計約6.3MB
• 料金：無料（Webフォームからの申し込み後にダウンロード可能、URLは7日間有効）
• 対象：自社サイト・業務システムを運用する担当者、顧客サイトを預かるWeb制作・受託会社
• 資料URL：https://uravation.com/downloads/vulnerability-day-response-kit/

なお、本資料は一般的な情報提供を目的としており、法的助言や脆弱性診断、監視などの代行業務に代わるものではないとしています。

本記事は株式会社Uravationの発表をもとに作成されています。