ECカート・プラグインに脆弱性が出たら店舗がやること｜メンテナンス中の確認・お客様への案内・被害の確かめ方

※本記事は2026年10月22日午前時点で確認できた公式発表に基づきます。PHPの脆弱性と各カートの対応は状況が変わる可能性があるため、最新は各社・各機関の公式のお知らせでご確認ください。公式発表が更新され次第、追記します。

「朝起きたらカートが緊急メンテナンスで止まっていた」「脆弱性のニュースを見たけれど、うちの店は何をすればいいのか分からない」——2026年10月21日から22日にかけて、そんな不安を感じた店舗さんもいたかもしれません。脆弱性が出たときに店舗がやることは、SaaSのカートを使っているか、自社でサーバーやカートを運用しているかで大きく変わります。この記事では、PHPの脆弱性で公式に発表されている範囲を確認したうえで、運営形態ごとの動き方、お客様への案内、被害が疑われるときの連絡、平時の備えを順に整理します。

2026年10月21日のPHPの脆弱性｜公式に発表されている範囲

2026年10月21日、Webサイトを動かすプログラム言語「PHP」の深刻な脆弱性（CVE-2026-109618、CVE-2026-109619）について、PHPの開発側が修正版を公開し、国内でもIPAが事前準備を呼びかけ、複数のSaaSカートが予防的なメンテナンスを行いました。PHPはEC-CUBEやWordPressなど、多くのECサイトやCMSの土台として使われています。

The PHP Foundationの発表（2026年10月21日）によると、深刻度はCVSS 9.2で、修正版はPHP 8.5.12／8.4.27／8.3.36／8.2.35です。公開は日本時間の10月21日23時で、脆弱性の番号が事前に外部へ漏れたため予定を前倒ししたと説明されています。財団は公開時点で機能する攻撃コードは確認していないとしつつ、直ちに更新するよう呼びかけています。

IPAは同じ10月21日に「事前準備のお願い」を掲載し、PHPを使っているプログラムの棚卸し、修正版の公開後すぐに適用できる準備、製品の内部でPHPが使われている場合は開発元・提供元の情報の確認、サポートが終わった古いPHPを使い続けているサイトは特に速やかな対応を求めています。IPAは、現時点で悪用した攻撃を確認しているわけではないとしつつ、攻撃者が極めて短時間で攻撃を行う可能性にも触れています。

BASEのヘルプページには、取得時点でメンテナンスの原因や不正アクセスの有無の記載はありませんでした。カラーミーショップは、IPAの注意喚起を受けた予防措置として10月21日22時から停止し、10月22日7時20分にショップの表示・購入と管理画面が復旧したと案内しています（「カラーミーWPオプション」は未復旧）。同社は更新時点で、この脆弱性を悪用した攻撃や情報漏えいは確認されておらず、受注・商品・在庫のデータにも影響はないとしています。makeshopは「お客さまの情報とサービスの安全を守るための予防的な措置」と説明しており、本文にPHPの記載はありません。

脆弱性が出たときにまず確かめること

脆弱性が出たときに店舗がまず確かめるのは、「その部品を自店の仕組みの中で誰が更新するのか」と「使っているサービスが何を発表しているか」の2つです。慌てて設定を変える前に、次の順で状況を整理しましょう。

• 自店の仕組みに、その部品が入っているか……カート本体、プラグイン、サーバー、ブログや特設ページなど、どこで使われているかを確認します。
• 更新するのは誰か……カート事業者、レンタルサーバー会社、保守会社、自社のどれに当たるかを確かめます。
• 使っているサービスの公式のお知らせ……カート、決済代行、メール配信、在庫連携など、つながっているサービスの告知を確認します。
• 止まっているもの……ショップの表示・購入、管理画面、API連携、メールの送受信のどれが止まっているかを把握します。
• 止まっている間に影響が出るもの……予約配信のメルマガ、広告の配信、出荷の締切、お客様からの問い合わせを確認します。

情報は公式のお知らせや公的機関のページから取るのが安心です。SNSでは、確認されていない話が広まることもあります。

SaaSカートと自社運用（EC-CUBEなど）で違う動き方

SaaS（ASP）型のカートでは、PHPなどの更新はカート事業者が行うため、店舗の作業は「確認」と「お客様対応」が中心です。一方、自社でサーバーやオープンソースのカートを運用している場合は、更新そのものが自社（または保守会社）の作業になります。

SaaSカートの店舗は、公式のお知らせで停止と復旧の時刻を確かめ、復旧後に受注・決済・メール・外部連携が正しく動いているかを管理画面で確認します。カラーミーショップは、停止中に予約したメルマガはリンクが機能しないため、一時的に予約を解除することを勧めていました。予約配信や広告など「止まっている間も動き続けるもの」がないかは、どのカートでも確認しておきたい点です。

自社運用の店舗は、IPAの呼びかけに沿って、PHPを使っているプログラムを棚卸しし、修正版を速やかに適用します。クレジットカード・セキュリティガイドラインの附属文書20も、オープンソースを使う場合は導入後のセキュリティパッチの更新などをEC加盟店の責任で行うと説明しています。保守会社に任せている場合は、対応の予定と完了の連絡をもらう約束をしておくと安心です。レンタルサーバーでは、PHPの版を契約者が切り替える形のサービスもあるため、サーバー会社のお知らせも確認してください。なお、2026年10月22日午前時点で、EC-CUBEの開発元による公式な告知は確認できていません。

お客様への案内の例文（短い版）

お客様への案内は、止まっている事実・再開の見込み・問い合わせ先の3点を短く伝え、被害の有無は公式に確認できた範囲だけを時点つきで書くのが目安です。サイトのお知らせ、SNS、メールなどで使える短い例を紹介します。

②の「確認されていない」の一文は、提供元がそう発表している場合だけ入れます。発表がない場合は書かずに、再開の事実だけを伝えましょう。また、この時期は店やカートを名乗る偽のメールが出回ることもあるため、「当店からメールでパスワードやカード情報の入力をお願いすることはありません」と添えておくと、お客様の安心につながりやすくなります。

管理画面のパスワード・2段階認証・API連携の見直し

復旧後は、管理画面のパスワードと2段階認証の確認、スタッフや外部委託先のアカウントの整理、API連携や外部アプリの権限の確認をしておくと安心です。脆弱性そのものとは別に、こうした見直しは被害が広がるのを防ぐ備えになります。

• 管理画面のパスワードを見直す……ほかのサービスと同じパスワードを使い回していないかを確認します。
• 2段階認証を有効にする……カートやモールで使える場合は、スタッフ全員分を設定します。
• アカウントを整理する……共有IDをやめてスタッフごとに分け、退職者や契約が終わった外部委託先のアカウントを削除します。
• API連携・外部アプリの権限を確認する……使っていない連携は止め、発行したアクセスキーやトークンの扱いを見直します。
• ログインはブックマークから……「緊急」「メンテナンス」をうたうメールのリンクからログインしないよう、スタッフに共有します。

IPAは2026年10月9日の注意喚起で、外部に公開しているアプリのログを直近3か月分点検すること、外部サービスのアカウントの棚卸しなどを求めています。EC参謀の事例台帳には、連携アプリのアクセストークンが第三者に取得されたと公表された例もあり、連携の権限は定期的に見直しておきたいところです。

被害が疑われるとき｜報告とカード会社への連絡

被害が疑われるときは、まずカート事業者・決済代行会社（カード会社）・保守会社に連絡して被害の広がりを止め、そのうえで個人情報保護委員会への報告が必要かどうかを確かめます。管理画面に見覚えのないアカウントや操作の履歴がある、決済画面の見た目が変わった、カード会社から不正利用の連絡があった、といったときが目安です。

1. STEP1：関係先に連絡する

   カート事業者や保守会社、決済代行会社に状況を伝え、決済の停止やパスワード変更を相談します。カード情報が関わる可能性があれば、カード会社側にも早めに共有します。

2. STEP2：記録を消さずに残す

   ログや画面、届いたメールを保存し、気づいた日時と経緯をメモします。自己判断でサイトを作り直すと、原因の調査が難しくなることがあります。

3. STEP3：報告の要否を確かめる

   個人情報保護委員会のガイドラインでは、不正アクセスによる漏えいや、カード番号を含む漏えいは、おそれの段階でも報告の対象です。速報は知ってから概ね3〜5日以内、確報は原則30日以内（不正の目的による場合は60日以内）とされています。

カート事業者など委託先で起きた場合も、原則として委託元（店舗）と委託先の双方に報告の義務があり、連名での報告もできるとされています。本人への通知が難しい場合は、公表や問い合わせ窓口の設置で代えることもできます。手続きの全体像は漏えい等報告の用語解説をご覧ください。判断に迷うときは、委員会の案内や専門家に早めに相談するのが安心です。

平時の備え｜次に脆弱性が出たときのために

平時の備えとしては、自店の仕組みで使っている部品の一覧、更新の担当と保守契約の中身、情報の受け取り先、お客様への告知文の下書きの4つを用意しておくのが目安です。

• 部品の一覧……カート、プラグイン、テーマ、サーバーのOSやPHPの版、外部連携を書き出し、使っていないものは削除を検討します。
• 更新の担当と保守契約……保守契約に脆弱性への対応や緊急時の連絡が含まれているかを確かめます。
• 情報の受け取り先……カート事業者のお知らせ、IPA、JPCERT/CCを誰が見るかを決めます。
• 告知文の下書きと連絡先一覧……この記事の例文を自店向けに直し、関係先の連絡先と一緒に保存しておきます。

IPAの「ECサイト構築・運用セキュリティガイドライン」（2023年3月）も、運用時の必須の対策として、ソフトをセキュリティパッチなどで最新の状態にすることを挙げています。ECサイトのセキュリティ対策の全体像はECサイトのセキュリティ対策ガイドで、カード情報や不正注文への備えとあわせて整理しています。

よくある質問

Q. BASEやカラーミーショップなどのSaaSカートを使っている店も、自分でPHPを更新する必要がありますか？

A. SaaS（ASP）型のカートでは、サーバーやPHPなどの更新はふつうカート事業者が行うため、店舗が自分で更新する作業は基本的にありません。店舗側でやることは、公式のお知らせを確認すること、停止中の注文や問い合わせ・メルマガの予約配信の扱いを確かめること、復旧後に管理画面のパスワードや2段階認証、外部連携を見直すことが中心です。ただし、カートとは別に自社で借りているサーバーでPHPを使っている場合（ブログや特設ページなど）は、そちらの更新は自社の担当になります。

Q. メンテナンスでカートが止まっていた間の注文はどうなりますか？

A. 扱いはサービスによって異なります。2026年10月21〜22日の例では、makeshopはメンテナンス中はショップがメンテナンス画面になり閲覧・購入ができないと案内しており、カラーミーショップは10月22日7時20分にショップの表示・購入が復旧したと案内しています。停止の前後に入った注文の状態や、メールの送受信が遅れていないかは、復旧後に管理画面で確かめ、詳しい扱いは各社の公式のお知らせで確認するのが確実です。

Q. お客様に「被害はありません」と案内してもよいですか？

A. 公式に確認できた範囲を、時点を添えて伝えるのが目安です。たとえばカラーミーショップは10月22日の更新時点で、この脆弱性を悪用した攻撃や情報漏えいは確認されていないと案内しています。こうした発表を伝える場合も「◯月◯日時点で、利用しているサービスから、攻撃や情報漏えいは確認されていないと案内を受けています」のように、時点と出どころを示し、言い切らない書き方にしておくと、あとで状況が変わったときにも訂正しやすくなります。

出典

• The PHP Foundation「Today's PHP Security Release, and How We're Strengthening PHP Security」（2026年10月21日）
• IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（2026年10月21日）
• IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」（2026年10月9日）
• BASE「緊急メンテナンス延長のお知らせ」（2026年10月21日〜22日）
• GMOペパボ カラーミーショップ「【重要】10/22(木)7:20 一部復旧｜PHPセキュリティ対応に伴うサービス一時停止のお知らせ」（2026年10月21日掲載・22日更新）
• GMOメイクショップ「【緊急メンテナンス告知】2026年10月21日（水）〜22日(木) 深夜にシステムメンテナンスを実施いたします。」（2026年10月21日）
• クレジット取引セキュリティ対策協議会「附属文書20 EC加盟店におけるセキュリティ対策 導入ガイド」（2026年10月22日閲覧）
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（2026年6月一部改正）
• IPA「ECサイト構築・運用セキュリティガイドライン」（2023年3月16日）

※本記事は2026年10月22日午前時点の公開情報をもとにしています。最新の状況は各社・各機関の公式のお知らせでご確認ください。