ふたりで考える、仕事の話AI活用 / Webの保守
15サイトのPHP対応。AIに何から頼む？
２日間で15サイトの修正対応を依頼。急ぐときほど、同じ更新を一斉に流すわけにはいきません。こはるとボスが、PHPの脆弱性対応で先に調べることと、AIへの頼み方を考えます。
急いでいる。でも、全部同じではない。
こはるPHPに大きな問題が見つかったとき、２日間で15サイトの修正対応を依頼したんですよね。最初にAIへ何と頼んだらいいんでしょう。
ボスまずは対象を調べて、対応を分けることだね。15サイトへの依頼は、15サイトすべての修正完了と同じ意味ではない。試験中や適用待ちも、見分けられるようにする。
こはる一覧に「対応済み」とだけ書くと、どこまで済んだか分からなくなりそうです。
ボスそうだね。今回扱うのは、2026年10月21日に修正版が公開されたPHPの脆弱性。PHPは、Webサイトの裏側で処理を動かすためのソフトウェアだ。
こはるサイトの見た目が正常でも、その裏側を確認する必要があるんですね。
ボスPHPの公式発表では、CVE-2026-109618とCVE-2026-109619について、認証なしの遠隔コード実行につながり得るとされている。CVSS v4.0の深刻度は9.2。適用条件と配布元の更新情報を見て、対象を調べる必要がある。
「何版ですか」だけでは、足りない。
こはるPHPのバージョンを一覧にして、古いものから更新する。まずは、それでいいですか？
ボス出発点としてはいいね。ただ、画面を動かすPHPと、夜間の集計を動かすPHPが同じとは限らない。どこで使われているかまで調べたい。
こはる一つ直して「終わりました」と思ったら、別の仕事が古いほうを使い続けることもあるんですね。
ボスそれに、配布元が修正を取り込んでいても、バージョン表示だけでは判別できない場合がある。配布物の情報と、実際に動いているものの両方を見る。
サイトごとに、まず四つをそろえる
- どこで使っているか
Web表示・定期処理・共有するサイトを調べる。
- どう更新するか
配布元の修正版で進めるか、個別の準備が必要かを分ける。
- 何を試すか
ログイン・フォーム・帳票など、そのサイトの仕事を挙げる。
- 今どこまで済んだか
調査・試験・適用・業務確認を別々に記録する。
こはる連絡を受ける側も、「試験は終わって、本番の時間を相談中」と分かれば動きやすいです。
ボス急いでいるときほど、その情報が効くね。今回も、修正を適用して進めるものと、別環境でのビルドや互換性確認を含む個別の準備が必要なものを分けて考えた。
AIが速めるのは、コマンドを打つ時間だけ？
こはるAIなら、サーバーの管理画面も順番に操作してくれるんでしょうか。
ボス方法の一つがAWS CLIだね。AWSをコマンドで操作する公式の道具で、対象の情報を取得したり、バックアップの状態を確認したりできる。
こはる画面を見て転記する代わりに、結果を直接使えるんですね。
ボスはい。AIへ「対象を照合し、必要な情報を集め、条件がそろったら次へ進む」と頼める。作業結果を受けて次の確認を進められることが、自走させる利点だね。
こはる違う環境につながったときも、そのまま先へ進むのは困ります。
ボスだから、対象が違う、想定外の設定がある、バックアップが終わらない、といった停止条件も渡す。操作できる範囲と本番の作業時間を決め、予定外まで勝手に変えないようにする。
攻める側が速くなるなら、守る仕事も変える。
こはる長く使われてきたソフトウェアでも、今になって重大な問題が見つかるんですね。
ボス今回の発見者の報告でも、AIが複雑な問題の発見や攻撃可能性の検証を助けたと説明されている。長年動いていたから大丈夫、とは考えにくくなっているね。
こはる人が一台ずつ調べ終えるのを待っているだけでは、時間がかかりますね。
ボスだから守る側でも、調査、比較、試験、記録をAIへ任せる。ただし、速く操作できたことを、安全に直せたことの代わりにはしない。
こはる「全部急いで直して」より、「対象と違いを調べ、試す項目と戻す方法まで用意して」と頼みたいです。
ボスその頼み方なら、担当者が確認する材料もそろえられる。サイトが増えるほど、人が毎回同じ調査を繰り返さずに済む仕組みを持っておきたいね。
