カラーミーショップのPHP脆弱性への対応とは、GMOペパボ株式会社が運営するネットショップ作成サービス「カラーミーショップ」が、2026年10月21日に公表されたPHPの重大な脆弱性（CVE-2026-109618／CVE-2026-109619）に備えて行った予防のメンテナンスのことです。21日22時からショップページと管理画面を止め、22日8時49分にすべて完了しました。公式は「ショップオーナーさま側でご対応いただくことは特にございません」と案内しています。
この記事は、2026年10月22日16時00分時点のカラーミーショップ公式のお知らせとサービス運営状況、ヘルプセンターのマニュアルをもとにまとめています。メンテナンスそのものに必要な作業はありませんが、ショップを運営する側として、明けたあとに見ておきたい点がいくつかあります。管理画面の実際のメニュー名を使って順番に整理します。最新の情報は公式ページでご確認ください。
速報（2026年10月22日16時00分時点・当社調べ）
| PHPの脆弱性への対応 | 完了（10月22日8時49分にメンテナンスがすべて完了したと公式が発表） |
| 管理画面・ログイン | 入れる（公式は「通常どおりサービスをご利用いただけます」と案内。ログイン画面が表示されることも確認。ログインはしていません） |
| サイト・サービスの表示 | 通常どおり（完了後に新しい障害の告知はなし） |
| 確認した公式ページ | 【重要】復旧済み｜PHPセキュリティ対応に伴うサービス一時停止のお知らせ、サービス運営状況 |
状況は変わることがあります。最新の情報は公式ページでご確認ください。
カラーミーショップが公表していること（10月22日16時00分時点）
要点は、止まっていたのは予防のためで、攻撃やデータ漏えいは確認されていないこと、そしてメンテナンスはすでに終わっていることの2つです。経緯を時系列で見ていきます。
10月21日｜IPAの注意喚起を受けて、当日に停止を告知
お知らせ「【重要】PHPセキュリティ対応に伴うサービス一時停止のお知らせ」は10月21日に出ました。IPA（情報処理推進機構）がPHPの重大な脆弱性について注意喚起を出したことを受け、「ショップオーナーさまおよびご購入者さまのデータを安全にお守りするため、予防措置としてメンテナンスを実施」すると説明しています。停止期間は「10月21日（水）22:00～10月22日（木）終了時刻未定」で、当日の告知だったことについてもお詫びが添えられていました。
止まったもの・止まらなかったもの
お知らせに書かれた影響の範囲を、止まったものと止まらなかったものに分けると次のとおりです。
| 区分 | 内容（公式のお知らせより） |
|---|---|
| 止まったもの | ショップページの表示・購入手続き、管理画面へのログイン・操作、Webメディア「よむよむカラーミー」、アプリストア「カラーミーWPオプション」で作ったWordPressのページ |
| 止まらなかったもの | フォローメール・メールマガジンの予約配信（予定どおり送信。ただしメール内のショップへのリンクはメンテナンス中は開けない） |
| データ | 受注・商品・在庫など、既存のデータへの影響はない |
| 停止中の表示 | アクセスするとメンテナンス画面が表示される |
22日朝に一部再開、8時49分にすべて完了
サービス運営状況のページには途中経過の追記があり、ショップページの表示・購入手続き、管理画面へのログイン・操作、よむよむカラーミーが先に復旧し、カラーミーWPオプションのページだけメンテナンスが続いていると書かれていました（この追記の日付はページ上で「2026/10/21 07:20」と表記されていますが、内容から22日朝の追記と読めます）。そのあと22日9時の追記で、「10/22（木）8:49にすべて完了いたしました。現在は通常どおりサービスをご利用いただけます」と報告されています。
「攻撃やデータ漏えいは確認されていない」という説明
お知らせでは、今回の対応は脆弱性に対する予防的な対策で、「現時点で、カラーミーショップにおける当該脆弱性を悪用した攻撃やデータ漏洩は確認されておりません」と明記されています。停止したのは被害が出たからではなく、PHPの修正版を公開後すぐに当てるためだった、という位置づけです。脆弱性（ソフトウェアの弱点）そのものの中身は、PHPの重大な脆弱性（CVE-2026-109618/109619）の解説記事にまとめています。
カラーミーショップとPHPの関係
結論から言うと、カラーミーショップを使っているショップ運営者が、自分でPHPを更新したりバージョンを選んだりする場面はありません。ここがレンタルサーバーでWordPressを動かしている場合との大きな違いです。
修正版の適用はカラーミーショップ側の作業
お知らせには、IPAが案内している修正プログラムを「公開後速やかに適用するためのメンテナンス」だと書かれています。サービスの中でPHPが使われていて、その更新を運営会社が行ったと読める内容です。どの部分にPHPが使われているかまでは公表されていません。PHP公式は10月21日に修正版（8.5.12／8.4.27／8.3.36／8.2.35）を公開しており、8.1以前には公式の修正が出ていません。
ショップ側で「PHPのバージョン」を触る画面はない
カラーミーショップは、サーバーの管理まで含めて運営会社が受け持つ形のサービスです。公式のお知らせとヘルプセンターを確認した範囲でも、ショップ側でPHPを操作する手順は案内されていません。「PHPのバージョンを上げてください」という呼びかけを見かけても、それはレンタルサーバーなどで自分のサイトを動かしている人向けの話です。
デザインテンプレートやアプリの更新では直らない
今回の弱点はPHP本体にあります。デザインテンプレートを入れ替えたり、アプリを更新したりしても、この脆弱性への対策にはなりません。反対に言えば、慌ててテンプレートを触る必要もありません。国内でどんなサービスが止まったかは10月21日の国内の動きのまとめ記事で整理しています。
メンテナンス明けにショップ管理画面で確認すること
公式の案内どおり、メンテナンスのために必要な作業はありません。ただ、21日の夜から22日の朝にかけてショップが止まっていたので、売り場としての影響は確かめておくと安心です。ステップ1・2・5は公式のお知らせに書かれている注意点、ステップ3・4・6は運営の現場で私たちがおすすめしている確認です。
ステップ1｜ショップページの表示と購入の流れを確かめる
PCとスマートフォンの両方で、トップページ・商品ページ・カートを開きます。可能であれば、決済の手前までテスト的に進めてみてください。メンテナンス画面が出たままになっている場合は、ブラウザの再読み込みやキャッシュの削除を試し、それでも直らなければサービス運営状況のページを確認します。
ステップ2｜外部のサーバーから読み込んでいる画像やCSSを確かめる
公式は、外部のレンタルサーバーから画像・CSS・JavaScriptなどを読み込んでいて、そのサーバーがメンテナンス中や障害中だと、ショップの表示が崩れる可能性があると注意を出しています。10月21日から22日にかけては、レンタルサーバー各社も同じPHPの件でメンテナンスをしていました。バナー画像や独自のCSSを外部に置いている場合は、そのサーバーの告知も確認してください。制作会社にデザインを頼んだショップでは、どこに素材を置いたか分からないこともあるので、担当者に聞いておくと早いです。
ステップ3｜「受注一覧」でメンテナンス直前の注文を確かめる
管理画面の「受注一覧」で、21日22時の少し前に入った注文を開き、入金や決済の状態に不自然なところがないかを見ます。公式は既存のデータへの影響はないと説明していますが、停止の直前に手続きをしていたお客様から「注文できたか分からない」と問い合わせが来ることがあります。注文の有無をすぐ答えられるようにしておくと、やり取りが短く済みます。
ステップ4｜メールマガジンとフォローメールの配信を振り返る
メンテナンス中も予約配信は送られましたが、メール内のリンクからショップを開くことはできませんでした。21日22時から22日朝までに配信したメールマガジンがあれば、セールの告知などで影響がなかったかを考え、必要なら改めて案内を送ります。フォローメールは「フォローメール一覧」で送信日時と「送信済み」の状態を確認できます。
ステップ5｜カラーミーアナリティクスの欠けをメモしておく
公式によると、カラーミーアナリティクスでは、メンテナンスの完了前後のアクセスが集計の対象外になります。月次の数字を前年や前月と比べるときに「10月21日夜から22日朝は止まっていた」と書き添えておくと、あとで数字の落ち込みを見て悩まずに済みます。
ステップ6｜カラーミーWPオプションのページを開いてみる
カラーミーWPオプションで読みものページやブログを作っている場合、この部分は最後まで再開が遅れていました。8時49分の完了報告のあとに、いくつかのページを実際に開いて、表示と画像を確かめておきましょう。
お客様の情報とカード情報について公式が言っていること
お客様の情報について、公式が明言していることは多くありません。言われていることと、言われていないことを分けて受け取るのが大切です。
攻撃や漏えいは確認されていない、データへの影響もない
今回のお知らせで言われているのは、「当該脆弱性を悪用した攻撃やデータ漏洩は確認されておりません」と「受注・商品・在庫など、既存のデータへの影響はありません」の2点です。いずれも10月21日から22日時点の説明で、今後の調査結果についての予告はありません。
クレジットカード情報は決済代行会社側で保管されている
今回の件とは別に、ヘルプセンターの「クレジットカードで支払った場合、カード情報はどこに保存されますか」では、カード情報は利用している決済代行会社（カード決済の処理を請け負う会社）側で保持され、「カラーミーショップおよびショップでは保持していません」と説明されています。お客様にカード情報について聞かれたときは、この仕組みの説明が根拠になります。
公式が触れていないことは、推測で伝えない
「絶対に安全です」「一切問題ありません」のような言い切りは、公式も使っていません。お客様への説明は、公式の言葉の範囲にとどめるのが安全です。新しい発表が出たときに、前に伝えた内容と食い違わずに済みます。
お客様から聞かれたときの伝え方
夜間にショップが見られなかったことで、問い合わせが届くことがあります。事実だけを短く伝え、公式のお知らせを添えるのが基本です。
そのまま使える返信の文例
「10月21日22時から22日朝にかけて、当店が利用しているネットショップサービス（カラーミーショップ）で、セキュリティ対策のためのメンテナンスが行われ、ショップをご覧いただけない時間がありました。ご不便をおかけして申し訳ありません。運営会社からは、攻撃や情報の漏えいは確認されておらず、注文などのデータにも影響はないと案内されています。現在は通常どおりご利用いただけます。」
カード情報について聞かれた場合は、「カード情報は決済代行会社で管理されており、当店のショップでは保管していません」と添えます。注文の有無を聞かれたら、ステップ3で確かめた受注の状態をそのまま伝えてください。
ショップの「お知らせ」欄に載せるかどうか
問い合わせが何件も来るようなら、「ショップ情報」の「お知らせ」欄に短く載せる方法もあります。ただ、すでに復旧していて、お客様の情報に関わる発表も出ていない今回のような場合は、個別に答えるだけで十分なことが多いです。載せる場合も、不安をあおる見出しは避け、上の文例くらいの温度感にとどめます。
この機会に見直したいアカウントの守り
PHPの件とは直接関係ありませんが、カラーミーショップは10月14日に「【重要】管理画面のセキュリティ対策を必ずご確認ください」というお知らせを出しています。管理画面には顧客の氏名・住所・電話番号が入っているため、運営会社がどれだけ守っても、ログインの入口が弱ければ意味がありません。メンテナンス明けのついでに、次の点を確認しておきましょう。
ログインパスワードを見直す
「アカウント設定」→「パスワード」から変更できます。他のサービスと同じパスワードを使い回していないか、十分な長さがあるかを確認します。ショップで作ったメールアドレスのパスワードは、「設定」→「メールアドレス」の各アドレスの「編集」から変えられます。
2要素認証を設定する
2要素認証は、パスワードに加えて、携帯電話にSMSで届く6桁の認証コードの入力をログイン時に求める仕組みです。サイドバー左上のログインID欄から「アカウント設定」→「2要素認証」を開き、ログインパスワードを入れて「設定を確認」→「設定を開始」と進みます。設定が終わると表示されるリカバリーコード（スマートフォンをなくしたときの予備のコード）は、印刷するなどしてスマートフォン以外の場所に保管してください。
スタッフには「副管理者」のアカウントを分けて渡す
主管理者のIDとパスワードを複数のスタッフで共有していると、2要素認証のSMSを1台の携帯でしか受けられず、結局設定しないままになりがちです。「設定」→「副管理者」でスタッフごとにアカウントを作れば、それぞれが自分の携帯で2要素認証を使え、見られる画面も役割に合わせて絞れます。公式は、顧客情報を含む権限として「受注管理」「顧客管理」「データダウンロード」を挙げています。辞めたスタッフや契約が終わった外注先のアカウントは、「休止」か「削除」にしておきましょう。
ログイン履歴と「新しい環境からのログイン」通知を確認する
サイドメニュー上部のアカウント情報から「ログイン履歴」を開くと、直近最大100件のログイン日時・IPアドレス（接続元の住所にあたる番号）・端末の情報を確認できます。また、ふだんと違う環境からログインがあると「新しい環境からのログインがありました」という通知メールが届きます。心当たりのないログインがあれば、すぐにパスワードを変え、2要素認証を設定してください。
使っていないアプリと外部連携を整理する
アプリストアのアプリは、ショップのデータを読み書きできる入口でもあります。「アプリストア」→「利用アプリ設定・削除」で利用中のアプリ一覧を開き、もう使っていないものは削除を検討します。有料アプリは削除すると契約がすぐに解除される点に注意してください。また、カラーミーショップのAPI（外部のシステムとデータをやり取りする仕組み）を使って在庫管理や受注管理の外部サービスとつないでいる場合は、何とつながっているかを一覧にしておくと、いざというときに止める判断が早くなります。API連携の技術的な内容は、公式のサポート対象外とされています。
カラーミーショップを装ったメールに注意する
大きなメンテナンスのあとは、それに便乗した偽のメールが出回りやすくなります。公式によると、カラーミーショップからのメールは原則として「shop-pro.jp」「colorme.pepabo.com」「pepabo.com」のいずれかのドメインから届きます。「アカウント停止」「未払い」など急がせる内容でも、メール内のリンクは開かず、ブックマークから管理画面に入って確かめてください。
ここまでの確認を一覧にすると次のとおりです。
| 確認すること | 管理画面の場所 | 目安 |
|---|---|---|
| ログインパスワードの変更 | アカウント設定 → パスワード | 使い回しがあれば変更 |
| 2要素認証 | アカウント設定 → 2要素認証 | 主管理者・副管理者とも設定 |
| スタッフのアカウント | 設定 → 副管理者 | 共有をやめ、不要なものは休止・削除 |
| ログイン履歴 | サイドメニュー上部のアカウント情報 → ログイン履歴 | 心当たりのないログインがないか |
| アプリの整理 | アプリストア → 利用アプリ設定・削除 | 使っていないものを確認 |
| メールのパスワード | 設定 → メールアドレス → 編集 | ショップのメールを使っている場合 |
10月のほかのお知らせ（PHPの件とは別の話）
同じ10月には、PHPの件とは別のお知らせもいくつか出ています。混同しないよう、分けて整理しておきます。2026年10月22日16時00分時点で、カラーミーショップのお知らせとサービス運営状況のページに、不正アクセスや情報漏えいを知らせる告知は見当たりませんでした。
メールマガジンの緊急メンテナンス（10月19日〜21日）
10月19日18時29分から、メールマガジンの配信と新規予約を止める緊急メンテナンスがあり、21日12時18分に完了しました。影響を受けたのは19日18時から21日11時30分に配信予約していたメールマガジンで、影響があったショップには管理画面のホームに個別の案内が出ています。停止の理由は告知に書かれていません。メールマガジンを使っているショップは、管理画面のホームの案内を確認してください。
メールサーバーの移設（10月5日〜11月16日）
メールの安定性と届きやすさを上げるため、カラーミーショップで作ったメールアドレスのメールサーバーが、6回に分けて順次移設されています。対象のショップは、メールソフトの接続設定を変える作業が必要です。詳しくはメールサーバー移設のお知らせを確認してください。
カード決済の障害（10月16日・20日、いずれも復旧済み）
10月16日18時26分〜23時34分に、クロネコwebコレクトと佐川フィナンシャル（SGシステム）の一部のクレジットカード決済ができない障害がありました（原因はプログラムの不具合と公表）。10月20日11時59分〜12時30分には、決済代行会社イプシロン側の障害で一部の決済が失敗しています。該当の決済を使っているショップは、この時間帯の受注に決済の失敗がないかも合わせて確認しておくと安心です。
サポートに問い合わせたほうがよいとき
ほとんどのショップは、ここまでの確認で十分です。次のような場合は、自分で抱え込まずにカラーミーショップのサポートに相談してください。
相談したほうがよい場面
- 完了報告のあとも、ショップページや管理画面が表示されない
- メンテナンス前後の受注で、決済の状態がおかしいものがある
- ログイン履歴に心当たりのないログインがある、または副管理者に見覚えのないアカウントがある
- カラーミーWPオプションのページが表示されない、崩れている
問い合わせの窓口
ヘルプセンターによると、問い合わせはまず「カラーミーAIチャット」（年中無休・24時間）から行い、AIで解決しない内容は担当者につながる案内が出ます。メールは年中無休、電話は平日9時〜17時で、問い合わせフォームから内容を送ったあと折り返しを受ける形です。フリープランは電話サポートの対象外です。外部のサーバーに置いた素材やデザインの崩れは、制作を頼んだ会社に相談したほうが早く片づきます。
よくある質問
Q. カラーミーショップは不正アクセスを受けたのですか？
A. いいえ。公式は今回の停止を予防のためのメンテナンスと説明しており、「当該脆弱性を悪用した攻撃やデータ漏洩は確認されておりません」としています（10月22日16時00分時点）。
Q. ショップ側でPHPを更新する必要はありますか？
A. ありません。修正版の適用はカラーミーショップ側で行われ、完了にあたって「ショップオーナーさま側でご対応いただくことは特にございません」と案内されています。
Q. メンテナンス中に入った注文やデータは消えていませんか？
A. メンテナンス中はショップページの表示と購入手続きが止まっていたため、その間に新しい注文は入りません。受注・商品・在庫など既存のデータへの影響はないと公式は説明しています。念のため、停止直前の受注を受注一覧で確認しておくと安心です。
Q. お客様のクレジットカード情報は大丈夫ですか？
A. ヘルプセンターでは、カード情報は決済代行会社側で保持され、カラーミーショップとショップでは保持していないと説明されています。今回の件でカード情報に関する個別の発表は出ていません。
Q. 外部のレンタルサーバーに画像を置いています。何か影響はありますか？
A. そのサーバーがメンテナンス中や障害中だと、ショップの表示が崩れることがあると公式は注意しています。ショップを開いて画像やデザインが正しく出ているか確かめ、崩れていればレンタルサーバー側の告知を確認してください。
Q. 最新の情報はどこで確認すればよいですか？
A. カラーミーショップ公式サイトの「お知らせ」と、障害・メンテナンスの情報をまとめた「サービス運営状況」のページです。SNSのまとめには推測が混ざりやすいので、スタッフやお客様への共有には公式の発表を使ってください。
参考にした公式ページ
- カラーミーショップ「【重要】復旧済み｜PHPセキュリティ対応に伴うサービス一時停止のお知らせ」（2026年10月21日、22日9時更新）
- カラーミーショップ サービス運営状況「PHPセキュリティ対応に伴うサービス一時停止のお知らせ」（途中経過の追記を含む）
- カラーミーショップ「【重要】管理画面のセキュリティ対策を必ずご確認ください」（2026年10月14日）
- カラーミーショップ サービス運営状況「緊急メンテナンスによりメールマガジンの配信・新規予約の一時停止」（2026年10月19日）
- カラーミーショップ サービス運営状況「障害情報」一覧
- カラーミーショップ ヘルプセンター「ショップで行えるセキュリティ対策はありますか？」
- カラーミーショップ ヘルプセンター「2要素認証を設定する方法」
- カラーミーショップ ヘルプセンター「副管理者設定」
- カラーミーショップ ヘルプセンター「ログイン履歴の確認方法」
- カラーミーショップ ヘルプセンター「クレジットカードで支払った場合、カード情報はどこに保存されますか」
- カラーミーショップ ヘルプセンター「アプリの解約方法」
- カラーミーショップ ヘルプセンター「お問い合わせ先・サポート体制について教えてください」
- PHP公式 セキュリティアドバイザリ（2026年10月21日）
- IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（2026年10月21日）
THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。
