PHPやNode.jsのCVEに対する当社の対応について - 技術記事 - セキュリティ

2026年10月現在、PHPやNode.jsを始めとして、複数の重大なセキュリティアップデートが行われています。

本件に対する当社の技術的な対応についてまとめました。

Phase.1 初動対応

PHP、Node.jsについての脆弱性は日本時間で2026-10-21の昼頃から各種コミュニティで話題になっていました。

PHPとNode.jsについて利用されているサービスをすぐに洗い出し、該当の社内サービスにおいて重大性とパッチが上流から提供されるまでの間の安全策として nginx Reverse Proxy で503ページを出力することにしました。

Phase.2 各種バージョンアップ

実際のバージョンアップは日を改めて行いました。当社では基本的にDockerを用いたホスティングを用いているため、まずは上流からのバージョンアップが提供されているかを確認しました。

PHPを利用しているNextCloudについては提供されていたため docker pull での対応としました。

Node.jsについては 1. 上流から提供されているもの, 2. 提供されていないため自前で docker build を行うものの2パターンに分かれて対応しました。

Phase.3 docker build による更新

具体的に Node.js のバージョンが提供されていなかったものは tootsuite/mastodon になります。

$ docker run tootsuite/mastodon-streaming:v4.7.3 node -v
> v24.22.0

そのため新たに Dockerfile を下記で作成し tagging しました。

# Dockerfile.mastodon-streaming-v4.7.3-node24.22.1-patchedFROM tootsuite/mastodon-streaming:v4.7.3

USER root

# Node をアップデート
RUN npm install -g n && \
   n 24.22.1 && \
   npm uninstall -g n && \
   npm cache clean -f

USER mastodon

RUN node -v

$ docker build -t tootsuite/mastodon-streaming:v4.7.3-node24.22.1-patch -f Dockerfile.mastodon-streaming-v4.7.3-node24.22.1-patched

Phase.4 各種バージョンアップの確認

# phpのバージョン確認
$ docker run nextcloud:34.0.5 php -v
# メジャーバージョンアップ後の確認
$ docker run nextcloud:35.0.2 php -v
# mastodon-streamingのパッチ済みタグでの確認
$ docker run  tootsuite/mastodon-streaming:v4.7.3-node24.22.1-patch node -v

まとめ

今回、いち早く気付くことができたため、初動でサービスへの到達を防ぐことで安全に対処できました。

開発・コンサルティングに関するご相談・ご依頼については、お問い合わせフォームよりお気軽にお送りください。

執筆：代表土師岬

2026.10.25