EC-CUBE の脆弱性まとめ（2026年）：本体・Amazon Pay プラグイン・PHP2Shell
2026年の EC-CUBE では、管理画面の二段階認証を回避される CVE-2026-30777（4.1.0〜4.3.1）、悪用が確認された公式 Amazon Pay プラグインの脆弱性、そして EC-CUBE を動かす PHP の PHP2Shell への対応が必要です。EC-CUBE 本体のパッチ・プラグインの更新・サーバーの PHP の修正の3つを、あわせて確認してください。
EC-CUBE の脆弱性は、本体・プラグイン・サーバー（PHP）の3か所にあります。どれか1つを直しても、残りの穴からカード情報や会員情報を狙われることがあります。
2026年に確認したい EC-CUBE の脆弱性
| 対象 | 内容 | 対象バージョン | 対策 |
|---|---|---|---|
| EC-CUBE 本体 | 管理画面の二段階認証（MFA）を回避される（CVE-2026-30777、2026年3月公表） | 4.1.0〜4.3.1 | 公式の修正パッチを適用（4.3.1-p1 など） |
| 公式 Amazon Pay プラグイン | リダイレクト処理の脆弱性（CVE-2026-103671）。緊急度「高」、悪用を確認（2026年10月） | EC-CUBE 4 向けプラグイン | 最新版（1.3.1）へ更新。CV1 対応版 1.2.9 以前は CV2 対応版へ移行 |
| PHP（サーバー） | PHP2Shell（CVE-2026-109618／109619）。ログイン不要でサーバーを乗っ取られるおそれ | EC-CUBE 2〜4系すべて | PHP を修正済みのものに（詳しく） |
| EC-CUBE 4.0 系 | 管理画面への XSS（CVE-2021-20717）。決済画面の改ざんに悪用された | 4.0.0〜4.0.5 | 4.0.5-p1 以降のパッチ。4.0 系は新しいパッチの対象外のため 4.3 への移行を検討 |
EC-CUBE 公式の脆弱性リスト・JVN・報道をもとに整理（2026年10月25日時点）。
今日やること
- バージョンを確認：管理画面のシステム情報で EC-CUBE と PHP のバージョンを確認します。
- 本体のパッチ：4.1〜4.3 系は CVE-2026-30777 の修正パッチを適用します。
- プラグインを更新：Amazon Pay など決済系プラグインは特に優先して最新版へ。
- サーバーの PHP：PHP2Shell の修正が入っているかを確認します。古い PHP（5.6〜8.1）にも修正済みビルドがあり、EC-CUBE のバージョンアップなしで対応できます。
- 改ざんの確認：決済画面・購入完了画面のテンプレート、最近更新された PHP ファイル、管理者アカウントを確認します。
本体・プラグイン・PHP の確認と対応をまとめて任せたい場合は、PHP2Shell 緊急対応パック（48時間）をご利用ください。全体の状況だけ知りたい場合は、プラグインから無料で診断を依頼できます。
参考：EC-CUBE 脆弱性リスト ／ Security NEXT（Amazon Pay プラグイン） ／ JPCERT/CC（CVE-2021-20717）
よくある質問
EC-CUBE 2系・3系でも対応できますか？
PHP2Shell は PHP 側の修正済みビルドへの入れ替えで対応でき、EC-CUBE 本体はそのまま動きます。ただし 2系・3系は本体のパッチが出ないため、中長期では 4.3 への移行を検討してください。
Amazon Pay を使っていなければ関係ありませんか？
Amazon Pay プラグインの脆弱性は該当しませんが、本体（CVE-2026-30777）と PHP（PHP2Shell）は EC-CUBE を使っている全ショップに関係します。
自分のショップが該当するか、すぐ分かりますか？
CubeCheckup プラグインを入れて診断を依頼すると、EC-CUBE・PHP・プラグインのバージョンをもとに該当状況をお知らせします（無料）。
自社のEC-CUBEがどの状態か、3分で確かめる
CubeCheckupプラグインを入れて「診断を依頼」するだけ。本体・PHP・プラグインの状態から、専門スタッフがリスクとバージョンアップ費用を見積ります。期間限定・先着20社まで無料。
無料で診断を依頼 →