EC-CUBEのPHP脆弱性への対応とは、2026年10月21日に修正版が公開されたPHPの重大な脆弱性（CVE-2026-109618・CVE-2026-109619、通称「php2shell」）について、EC-CUBEでネットショップを運営している方が、自分のショップで何を確かめ、何をすればよいかという話です。結論から言うと、EC-CUBEはPHPで動くソフトなので今回の件と直接関係があり、自社サーバーやレンタルサーバーで動かしている場合は、使っているPHPを修正版（8.2.35・8.3.36・8.4.27・8.5.12以上）にする作業がショップ側に必要です。EC-CUBE本体やプラグインを更新しても、この弱点は直りません。
速報（2026年10月22日16時00分時点・当社調べ）
| 項目 | 状況 |
|---|---|
| ①PHPの脆弱性への対応 | 対応中（イーシーキューブは10月22日のお知らせで、ec-cube.coは「必要な対応を進めております」と発表。自社サーバーや委託先のサーバーで動かしているショップは、ショップ側でPHPの更新が必要） |
| ②管理画面・ログイン | 公式の告知なし（各ショップの管理画面は、ショップごとのサーバーの状態によります。ec-cube.coの状況はコンソール画面で案内するとしています） |
| ③サイト・サービスの表示 | 通常どおり（EC-CUBE公式サイトが表示できることを確認。メンテナンスや停止の告知はなし） |
| ④確認した公式ページ | イーシーキューブ 10月22日のお知らせ、10月21日のお知らせ |
当社が上の時刻に公式ページを見て確かめた内容です（ログインはしていません）。状況は変わることがあるので、最新の情報は必ず公式ページでご確認ください。
この記事は、2026年10月22日16時00分時点のイーシーキューブのお知らせ（10月21日・10月22日）、EC-CUBE 4の公式ドキュメント（システム要件）、PHP公式のセキュリティ情報、IPAの注意喚起をもとにしています。状況は変わる可能性があるため、最新の情報は必ず公式ページでご確認ください。脆弱性そのものの説明はPHPの重大な脆弱性（CVE-2026-109618/109619）の解説記事に、10月21日に国内で起きたことの全体はPHPの重大な脆弱性のまとめ記事にまとめています。
イーシーキューブが公表していること（10月22日16時00分時点）
EC-CUBEを開発している株式会社イーシーキューブは、10月21日と22日に、公式サイトのニュースでPHPの脆弱性についてお知らせを出しています。ショップの形態ごとに案内が分かれているので、順に見ていきます。
10月21日のお知らせ「PHPのセキュリティリリース公開予定について」
お知らせの題名は「【重要】PHPのセキュリティリリース公開予定について(事前準備のお願い)」です。EC-CUBEの動作に使われるPHPでセキュリティ修正の公開が予告され、IPAからも事前準備の呼びかけが出ているとして、確認と準備を求めています。本文の冒頭には「2026年10月21日のセキュリティリリース公開前の情報に基づいています」「必要に応じて最新の情報を追記いたします」と書かれています。
このお知らせには10月22日10時37分に追記があり、修正版が公開されたあとの最新情報は、次に紹介する10月22日のお知らせを確認するよう案内しています。
10月22日のお知らせ「PHPのセキュリティリリース公開について」
10月22日には、新しいお知らせ「【重要】PHPのセキュリティリリース公開について(対応のお願い)」が出ました。10月21日にPHPの開発チームが修正版を公開したこと、直されたのはログインしなくても外から勝手にプログラムを動かされるおそれがある重大な弱点2件（CVE-2026-109618・CVE-2026-109619）であることを伝え、EC-CUBEを使っている環境について、PHP公式や使っているサーバーの提供元の情報を確かめたうえで、必要な対応を「至急」行うよう求めています。こちらにも「必要に応じて最新の情報を追記いたします」と書かれています。
ec-cube.co（クラウド版）を使っている場合
イーシーキューブが運営するクラウド版の「ec-cube.co」については、10月22日のお知らせで「脆弱性の影響範囲を確認したうえで、必要な対応を進めております」としています。確認結果や対応状況によっては、安全のためにメンテナンス期間の延長やサービスの一時停止を行う可能性があり、状況は「コンソール画面」で随時案内するとのことです。ec-cube.coの利用者は、まずコンソール画面のお知らせを確認してください。なお、ec-cube.coは公式ドキュメント上で新規受付停止中と表示されています。
自社サーバー・委託先のサーバーで動かしている場合
サーバーを自社または委託先で管理している場合について、10月21日のお知らせは次の点をサーバー管理者、ホスティング会社、制作・保守会社に共有して確認・相談するよう求めています。
- 使っているPHPのバージョン、提供元、更新を担当する会社・担当者
- 修正版公開後の影響確認と更新作業の進め方
- 夜間の対応ができるか、緊急時の連絡先、すぐに更新できない場合の対応
そのうえで、修正版が出たら影響を受ける環境にすみやかに適用すること、PHPを更新するときはEC-CUBE本体・導入済みのプラグイン・カスタマイズした部分との互換性を確かめ、購入や決済など主な機能の動作確認をすることを求めています。さらに「EC-CUBE本体やプラグインを更新した場合も、サーバー側のPHPへの修正が適用されているか、別途ご確認ください」と明記しています。
10月22日のお知らせでは、これに加えて、PHP公式や提供元の情報をもとに修正版や修正済みのパッケージをすみやかに当てること、当てたあとにPHP（PHP-FPMやApacheなど）を再起動して、修正が反映されているか確かめることを求めています。PHP公式が「修正版への更新が唯一の完全な対策」としていることにも触れ、すぐに更新できない場合の一時的な対策はPHP公式の案内を確認するよう書いています。あわせて「EC-CUBE本体やプラグインを更新しても、サーバー側のPHPは修正されません」と、改めて念を押しています。
EC-CUBEとPHPの関係：なぜショップ側の対応が要るのか
BASEやShopifyのような、運営会社がサーバーごと面倒を見るサービスと違い、EC-CUBEは自分で用意したサーバーに入れて使うソフトです（ec-cube.coを除く）。ここが、今回の対応の分かれ目になります。
PHPのバージョンを選ぶのはショップ側
PHPはEC-CUBEを動かすための土台のプログラムで、サーバーに入っています。どのPHPを使うかは、ショップの運営者やサーバーを管理する会社が決めます。レンタルサーバーならPHP本体の修正はサーバー会社が行いますが、どの系統（8.3、8.1など）を選ぶかは利用者の設定です。VPS（自分で管理する仮想サーバー）や自社サーバーなら、PHPの更新そのものも自分たちの仕事です。
EC-CUBEやプラグインの更新では直らない
今回の弱点はPHP本体にあり、EC-CUBEのプログラムが動き出す前の段階で狙われる可能性があります。EC-CUBEのバージョンアップやプラグインの更新は大切ですが、それだけでは今回の件は解決しません。PHPそのものが修正版になっているかを、別に確かめる必要があります。
| 運営の形 | PHPの更新をする人 | ショップ側がやること |
|---|---|---|
| ec-cube.co（クラウド版） | イーシーキューブ | コンソール画面のお知らせを確認する |
| レンタルサーバー | サーバー会社（系統の選択は利用者） | 選んでいるPHPの系統と細かい番号を確認し、8.1以前なら切り替えを検討する |
| VPS・自社サーバー | ショップ側（または保守会社） | OSの更新でPHPを修正版にし、PHPを動かす仕組みを再起動する |
| 制作会社・保守会社に運用を任せている | 契約による | 誰がいつ対応するかを確認する |
EC-CUBEのバージョンごとに使えるPHP
ここがEC-CUBEならではの注意点です。PHPの修正版が出ているのは8.2・8.3・8.4・8.5の4系統だけですが、EC-CUBEのバージョンによっては、その系統に公式には対応していません。EC-CUBE 4の公式のシステム要件を、今回の修正版と並べると次のとおりです。
| EC-CUBEのバージョン | 公式に対応しているPHP | 今回使える修正版 |
|---|---|---|
| 4.3系 | 8.1〜8.3 | 8.2.35、8.3.36 |
| 4.2系 | 7.4〜8.1 | 対応範囲に公式の修正版なし |
| 4.0系・4.1系 | 7.3〜7.4（4.0の初期版は7.1〜） | 対応範囲に公式の修正版なし |
| 2.25系 | 7.4.33以上（GitHubの説明より） | 動作確認したうえで8.2以上の修正版 |
| 4.4（試験版） | 8.2〜8.5 | 本番での利用は前提にしない |
4.3系なら、PHP 8.2か8.3の修正版へ
EC-CUBE 4.3はPHP 8.1〜8.3に対応しています。8.2か8.3を使っていれば、それぞれ8.2.35・8.3.36以上になっているかを確かめます。8.1を使っている場合は、修正版が出ていないので8.2か8.3への切り替えが必要です。4.3の最新はGitHubのリリース一覧で2026年3月4日公開の4.3.1-p1です。
4.2系以前は、PHPだけ上げるのは公式の対応範囲外
EC-CUBE 4.2の対応PHPは7.4〜8.1、4.0・4.1は7.3〜7.4です。どちらも、PHP公式の修正版が出た系統（8.2以上）は対応範囲に入っていません。PHP公式は8.1以前を今回の修正版の対象外としています。そのため、4.2以前のショップは、次のどれかを選ぶことになります。
- EC-CUBEを4.3へ移行し、PHPを8.2か8.3の修正版にする（根本的な対応）
- サーバー会社が古いPHPに独自の修正を当てると案内している場合は、その適用を確認しつつ、移行の日程を決める
- 移行まで時間がかかる場合は、制作会社や保守会社と、一時的にショップを止めるかどうかも含めて相談する
4.2から4.3への移行については、公式の4.2から4.3へのマイグレーションに、PHP 8.3対応で型の書き方が厳しくなり、古い書き方のカスタマイズがエラーで動かなくなる例が載っています。独自のカスタマイズが多いショップほど、作業に時間がかかると考えておくのが現実的です。
2系（2.25など）を使っている場合
古いEC-CUBE 2.13系をPHP 7・8で動くようにした2.25系は、GitHubの説明でPHP 7.4.33以上と書かれています。上限の明記はないため、8.2や8.3の修正版に切り替える前に、テスト環境で購入まで動くかを確かめてください。2.13系以前のまま古いPHPで動いているショップは、今回の修正版を受けられない可能性が高く、早めに専門家へ相談するのがおすすめです。
4.4はまだ試験版
2026年9月25日に公開された4.4.0-alphaは、PHP 8.2〜8.5に対応するとされています。ただし名前のとおり試験版（アルファ版）なので、本番のショップを今すぐ移す先としては考えず、正式版を待つのが安全です。
自分のショップの状態を確かめる
まずは、いまのEC-CUBEとPHPのバージョンを正確に知ることから始めます。メニュー名はEC-CUBE 4.3の管理画面のものです。
管理画面の「システム情報」でバージョンを見る
EC-CUBEの管理画面にログインし、「設定」→「システム設定」→「システム情報」を開きます。「EC-CUBE」の欄にEC-CUBEのバージョン、「PHP」の欄にPHPのバージョンが表示されます。PHPは「8.3.36」のように、最後の数字まで控えておきます。系統（8.3）だけでなく、最後の数字が修正版以上かどうかが大事です。
サーバー会社のお知らせと管理画面を確認する
レンタルサーバーの場合は、サーバー会社のお知らせで、修正版の適用が終わったか、古い系統への独自の修正があるかを確認します。サーバーの管理画面で、ドメインごとに選んでいるPHPの系統も見ておきます。主なレンタルサーバーの状況はまとめ記事から各社の記事をたどれます。
担当と連絡先をはっきりさせる
制作会社や保守会社に運用を任せている場合は、今回の対応を誰が、いつまでに行うのかを確かめます。イーシーキューブのお知らせを担当者へ転送して「うちのショップは対応が必要か」と聞くのが、いちばん早い方法です。
PHPを切り替える前の準備
ネットショップは、表示されるだけでなく注文と決済が通ることが大切です。切り替えでつまずいても戻せるように、準備をしてから作業します。
ファイルとデータベースのバックアップを取る
EC-CUBEのファイル一式（商品画像や設定ファイルを含む）と、データベース（注文・会員・商品の情報が入っている部分）の両方を保存します。サーバー会社の自動バックアップがあっても、作業直前の状態を手元に残しておくと安心です。会員情報が入ったバックアップは、置き場所と扱いに気をつけてください。
プラグインとカスタマイズの対応状況を確かめる
「オーナーズストア」→「プラグイン」→「プラグイン一覧」で、入っているプラグインとバージョンを確認します。特に決済のプラグインは、提供元が対応しているPHP・EC-CUBEのバージョンを必ず確かめます。独自にカスタマイズしている部分は、作った制作会社に確認してもらうのが確実です。
メンテナンスモードで作業時間を決める
4.3の管理画面では「コンテンツ管理」→「メンテナンス管理」から、お客様向けの画面をメンテナンス中の表示に切り替えられます。注文の少ない時間帯を選び、作業中はメンテナンスモードにしておくと、途中の注文がエラーになるのを防げます。事前にショップのお知らせで作業時間を伝えておくと親切です。
切り替えたあとに確認すること
PHPを切り替えたら、もう一度「システム情報」でPHPのバージョンが修正版になっているかを見てから、次の順で確かめます。
購入と決済を最後まで通して試す
商品をカートに入れ、会員ログイン、配送先の入力、決済、注文完了までを実際に試します。クレジットカード、コンビニ払い、Amazon Payなど、使っている支払い方法はひととおり確認します。テスト用の決済ができない場合は、少額の商品で実際に注文し、あとで取り消す方法もあります。
注文メールと管理画面の主な画面を見る
注文確認メールがお客様側とショップ側の両方に届くか、「受注管理」に注文が入っているかを確かめます。商品の登録・編集、CSVの出力など、日常の作業で使う画面も開いておきます。制作の現場では、画面は正常でもメールだけ届かなくなっていた、というケースをよく見かけます。
エラーが出ていないかログを見る
「設定」→「システム設定」→「ログ表示」で、切り替え後にエラーが続いていないかを確認します。見慣れないエラーが出ていたら、内容を控えて制作会社や保守会社に伝えます。表示が崩れたからといって古いPHPに戻したままにすると、弱点が残り続けるので注意してください。
お客様の情報とカード情報について
ショップ運営者がいちばん気になるのは、お客様の情報が大丈夫かどうかだと思います。ここは、公式に書かれていることだけを整理します。
公式に書かれている範囲
10月22日16時00分時点で、イーシーキューブのPHPに関する2本のお知らせには、EC-CUBEのショップで情報が漏れたといった被害の記載はありません。一方で、今回の弱点は悪用されると外から勝手にプログラムを動かされるおそれがある種類のもので、PHP公式もすぐの更新を強く呼びかけています。カード情報については、イーシーキューブはオーナーズストアで提供している決済プラグインはカード情報を自社で持たない仕組み（非保持化）に対応済みと説明しています（ec-cube.coのセキュリティ対策）。ただし、独自に組み込んだ決済の仕組みは、そのショップごとに確認が必要です。
お客様から聞かれたときの答え方
お問い合わせがあったときは、分かっていることだけを落ち着いて伝えます。たとえば次のような文面です。
お問い合わせありがとうございます。報道されているPHPの脆弱性について、当店ではサーバーの更新と動作確認を進めております（10月◯日に対応済み）。現時点で、お客様の情報に関する被害は確認しておりません。新しくお知らせすべきことが分かった場合は、当店のお知らせでご案内いたします。
まだ対応が終わっていない段階で「安全です」と言い切るのは避けます。対応の状況と、次に知らせる方法を伝えるのが誠実です。
管理画面のアカウントを見直す
PHPの件とは別に、この機会に管理画面に入れる人と入り方を見直しておくと、万一のときの被害を小さくできます。
メンバーごとに2段階認証を有効にする
「設定」→「システム設定」→「メンバー管理」で、各メンバーの「2段階認証」を有効にできます。有効にすると、パスワードに加えてスマートフォンの認証アプリに出る6桁の数字が必要になります。なお、EC-CUBE 4.1〜4.3.1には2段階認証を回り込まれる弱点（2026年3月4日公表、JVN#63765888）があり、修正版（4.3.1-p1など）が出ています。まだ当てていない場合は、あわせて対応してください。
使っていないメンバーを止め、ログイン履歴を見る
辞めたスタッフや、昔の制作会社のアカウントが残っていないかを確認し、不要なものは「稼働」を外すか削除します。4.3では「ログイン履歴」で、いつ・どこからログインがあったかを確認できます。覚えのないログインがあれば、すぐにパスワードを変えて専門家に相談します。
管理画面のURLとIP制限を確認する
「設定」→「システム設定」→「セキュリティ管理」では、管理画面のURLを推測されにくいものに変えたり、管理画面に入れる場所（IPアドレス）を事務所などに限ったりできます。設定を間違えると自分も入れなくなるので、変更は制作会社と相談しながら行うと安心です。
外部サービスとの連携の鍵を見直す
在庫管理や受注管理のサービス、Web APIのプラグインなどでほかのシステムとつないでいる場合は、使っていない連携を止め、連携用の鍵（APIキーなど）を誰が管理しているかを確認します。PHPの対応が終わったあとで、念のため鍵を作り直すかどうかも、連携先と相談しておくとよいでしょう。
別の件：AmazonPayプラグインの脆弱性（10月14日公表）
ここからはPHPの件とは別の話です。同じ10月に、EC-CUBE公式のAmazonPayプラグインについても脆弱性が公表されています。Amazon Payを使っているショップは、こちらも確認してください。
公表された内容
イーシーキューブは10月14日に「【重要】EC-CUBE公式AmazonPayプラグインにおける脆弱性のお知らせ」を出し、危険度を「高」としています。JVN#43511918（CVE-2026-103671）では、注文手続き中に別のWebサイトへ移動させられ、アカウント情報などを盗まれる可能性があるとされ、開発者によると、この弱点を悪用した攻撃がすでに確認されています。
対象のバージョンと対応
対象は、Amazon Pay V2プラグイン（4.2/4.3系）v4.3.1以前（バンドル版を含む）、Amazon Pay V2プラグイン（4.0/4.1系）v1.1.12以前、旧方式（CV1）のAmazonPayプラグイン v1.3.0以前です。最新版へ更新すれば修正されますが、CV1版のv1.2.9以前は最新版に上げられないため、CV2版への移行が強く勧められています。ec-cube.coではすでに修正済みとされています。「オーナーズストア」→「プラグイン」→「プラグイン一覧」でバージョンを確認してください。
自分で判断しにくいときは相談を
次のような場合は、無理に自分で進めず、ショップを作った制作会社や保守会社、サーバー会社のサポートに相談するのがおすすめです。ec-cube.coの場合は、コンソール画面の案内に沿ってイーシーキューブへ問い合わせます。
- EC-CUBE 4.2以前や2系で、PHP 8.1以前を使っている
- 独自のカスタマイズや、公式以外の決済プラグインを使っている
- 管理画面に見覚えのないメンバーやログインがある、急にエラーが続くなど、普段と違う動きがある
- サーバーの管理画面に入れない、誰がサーバーを管理しているか分からない
相談するときは、ショップのURL、「システム情報」に出ているEC-CUBEとPHPのバージョン、使っているサーバー会社、入っているプラグインの一覧を伝えると話が早く進みます。
よくある質問
Q. EC-CUBEを最新版にすれば大丈夫ですか？
A. いいえ。今回の弱点はPHP本体にあるため、EC-CUBEやプラグインを更新しても直りません。イーシーキューブのお知らせでも、サーバー側のPHPに修正が当たっているかを別に確認するよう書かれています。
Q. EC-CUBE 4.2を使っています。PHP 8.2に上げても動きますか？
A. EC-CUBE 4.2の公式の対応範囲はPHP 7.4〜8.1で、8.2は含まれていません。動く保証はないため、4.3への移行を前提に、制作会社や保守会社と進め方を決めてください。
Q. ec-cube.coを使っています。何かする必要はありますか？
A. PHPの対応はイーシーキューブが行うとしています。メンテナンスの延長や一時停止の可能性もあるため、コンソール画面のお知らせを確認してください。管理画面のアカウントの見直しは、ショップ側でもできます。
Q. お客様の情報は漏れていませんか？
A. 10月22日16時00分時点で、イーシーキューブのお知らせに被害の記載はありません。ただ、個々のショップの状態は運営の仕方によって違います。PHPの更新を早めに済ませ、管理画面のログイン履歴やログに不審な点がないかを確認してください。
Q. 10月21日〜22日にEC-CUBEの緊急メンテナンスはありましたか？
A. 10月22日16時00分時点で、イーシーキューブの公式サイトのニュースに、この期間のメンテナンスや停止のお知らせは見当たりません。ec-cube.coについては、10月22日のお知らせで、確認結果や対応状況によってはメンテナンス期間の延長やサービスの一時停止を行う場合があり、状況はコンソール画面で案内するとしています。
Q. すぐにPHPを上げられない場合はどうすればよいですか？
A. PHP公式は設定で一部の攻撃経路を減らす方法を示していますが、それで安全になるわけではないとしています。サーバー会社の独自の修正の有無を確認し、移行までの期間が長くなるなら、ショップを一時的に止めることも含めて専門家と相談してください。
この記事は2026年10月22日16時00分時点の情報です。イーシーキューブから新しいお知らせが出た場合は、公式ページの内容を優先してください。PHPのバージョンの基本はPHPバージョンの解説記事にまとめています。
THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。
