makeshopのPHP脆弱性への対応とは、2026年10月21日夜に修正版が公開されたPHPの重大な脆弱性（CVE-2026-109618・CVE-2026-109619、通称「php2shell」）が話題になる中で、GMOメイクショップ株式会社のネットショップ作成サービス「makeshop」が何を公表し、ショップ運営者が何を確認すればよいか、という話です。結論から言うと、makeshopは10月21日23時から22日4時42分まで、全ショップと全メールサーバーを止める緊急システムメンテナンスを行い、完了を告知しています。その後この告知は更新され、PHPの重大な脆弱性を受けた緊急メンテナンスだったこと、現時点で不正アクセスや顧客情報・注文情報の漏えい等は確認されていないこと、ショップ側で特別な対応は必要ないことが明記されました。
速報（2026年10月22日16時00分時点・当社調べ）
| PHPの脆弱性への対応 | 完了（公式発表。10月22日4時42分にメンテナンス完了。ただし連携サービスのMakeRepeaterは10月22日14時から緊急メンテナンス中で、終了は未定） |
| 管理画面・ログイン | 入れる（公式発表で「管理画面およびショップサイトのご利用に問題はございません」。当社でも16時00分にログイン画面が開くことを確認。ログインはしていません。MakeRepeaterの管理画面は停止中） |
| サイト・サービスの表示 | 通常どおり（公式発表どおり。会社サイト、makeshopマガジン、makeshopサポート、MakeRepeaterのサイトは16時00分時点でもメンテナンス中） |
| 確認した公式ページ | PHP脆弱性 緊急メンテナンス完了告知／MakeRepeater緊急メンテナンス告知／メンテナンス情報 |
状況は変わることがあります。最新の情報は公式ページでご確認ください。
この記事は、2026年10月22日16時00分時点のmakeshopのメンテナンス情報、makeshopオンラインマニュアル、makeshopよくある質問、PHP公式のセキュリティのお知らせをもとにしています。状況は変わることがあるため、最新の情報は必ず公式ページでご確認ください。脆弱性そのものの説明はPHPの重大な脆弱性（CVE-2026-109618/109619）の解説記事に、10月21日に国内で起きたことの全体像は10月21日のまとめ記事にまとめています。
makeshopが公表していること（10月22日16時00分時点）
PHPの件の公式の告知は、メンテナンス情報のページに10月21日付で掲載された「【「PHP脆弱性」緊急メンテナンス完了告知】2026年10月21日（水）〜22日(木) 深夜にシステムメンテナンスを実施いたしました。」と、10月22日付の「【MakeRepeater緊急メンテナンス告知】」の2本です。完了告知は、最初は「予防的な措置」とだけ書かれていましたが、その後タイトルに「PHP脆弱性」と入り、内容も追記されています。ここでは、その中身を順に見ていきます。
10月21日23時〜22日4時42分の緊急システムメンテナンス
makeshopの緊急メンテナンス告知によると、目的は「お客さまの情報とサービスの安全を守るための予防的な措置」です。当初は10月22日1時開始の予定でしたが、10月21日23時開始に前倒しされました。終了予定は22日4時で、実際には4時42分に完了したと追記されています。対象は全shopサーバー（free、shop1〜106）と全mailサーバー（mail1〜mail4）で、つまりすべてのショップが対象でした。
メンテナンス中に止まっていたもの
| 区分 | 告知に書かれている影響 |
|---|---|
| 管理画面 | ショップ管理画面にログインできない。副管理者ログイン画面にもアクセスできない |
| ショップ | メンテナンス画面が表示され、ページの閲覧も購入もできない |
| API（外部のシステムとデータをやりとりする窓口） | 会員情報・注文情報・商品情報の登録・更新・参照・削除ができない |
| 関連サービス | MakeRepeater、アイテムポストが使えない |
| メール | mail1〜mail4サーバーでメールの送受信ができない。時間内に届いたメールは、基本的には遅れて受信できる |
深夜とはいえ、約5時間40分のあいだ、お客様はショップを見ることも買うこともできなかったことになります。夜間に注文が入りやすいショップは、売上の記録を見るときにこの時間帯を頭に入れておくと、数字の落ち込みに慌てずにすみます。
関連サイトのメンテナンスは続いている
告知の補足には、会社サイト（makeshop.co.jp）、MakeRepeaterのヘルプ、makeshopマガジン、makeshopサポート（support.makeshop.jp）、API仕様のページなども同じくメンテナンスしていると書かれています。完了告知でも「補足でご報告しているサイトについては、メンテナンス継続中」とされていて、10月22日9時30分ごろに確認したときは、makeshop.co.jp、makeshopマガジン、makeshopサポートは「ただいまメンテナンス中です」の画面でした。10月22日13時20分ごろ、15時50分ごろ、16時00分ごろにあらためて確認したときも、この3つのサイトは「メンテナンス中」の表示のままでした。一方、オンラインマニュアルとよくある質問は見ることができました。また完了告知には、有料オプションの「メール配信プラス」で10月22日に予約していた配信が、メンテナンスのため未配信になっている可能性があり、確認中だとも書かれています。
PHPの脆弱性を受けたメンテナンスだったと明記された
当初の告知では、メンテナンスの理由は「予防的な措置」とだけ書かれていました。その後、完了告知が更新され、今回のメンテナンスは「「PHP」に重大な脆弱性が発見されたことを受けた緊急メンテナンス」だったと書かれました。あわせて、管理画面とショップサイトの利用に問題はないこと、現時点で本脆弱性に起因する不正アクセスや、顧客情報・注文情報の漏えい等は確認されていないこと、本件でショップ側が特別に対応する必要はないことも明記されています。追加で知らせることがあれば、このメンテナンス情報を更新して案内するとしています。10月22日13時30分には、この完了告知に「MakeRepeater（別サービス）が10月22日14時から緊急メンテナンスとなる」という追記も加わりました。メール配信プラスの10月22日予約分については、16時00分時点でも「確認中」のままです。
10月22日14時からMakeRepeaterが緊急メンテナンス
10月22日には、makeshopと連携している「MakeRepeater」について、別の告知が出ました。MakeRepeaterの緊急メンテナンス告知によると、こちらもPHPの重大な脆弱性を受けた予防的な措置で、10月22日14時から終了未定で緊急メンテナンスを行います。復旧までに数日以上かかる見込みとされています。対象はMakeRepeaterを使うすべてのショップで、MakeRepeaterの管理画面へのログイン、makeshop管理画面の「分析・販促管理 ＞ 顧客育成メール」経由のログイン、MakeRepeaterのメールマガジン配信が使えなくなります。10月22日以降に予約していたメールマガジンは、すべて配信が止まっているとのことです。進み具合はmakeshopのメンテナンス情報で案内されます。当社が10月22日16時00分に確認したときも、MakeRepeaterのサイト（makerepeater.jp）は「メンテナンス中です」の表示で、告知の終了時刻も「未定」のままでした。
makeshopとPHPの関係をどう考えるか
「うちのショップはPHPを使っているのか」「何か自分で更新する必要があるのか」は、多くの運営者が気になるところだと思います。公式の情報から言えることを整理します。
ショップ運営者がPHPを動かす仕組みではない
makeshopのよくある質問「PerlやPHPなどのプログラムを利用することはできますか。」には、makeshopの機能の中ではPerlやPHPなどのプログラムは使えない、と書かれています。画像などを置ける100MBサーバー（ギガプラス10）のマニュアルにも「PHPやCGI等のスクリプト .htaccessの設置は動作しません」とあります。ショップ運営者が自分でPHPのバージョンを選んだり、更新したりする画面はありません。
makeshop自体のシステムの中身は公表されていない
一方で、makeshopのシステムそのものがどのプログラム言語で動いているかは、公式には示されていません。仮にサービスの内側でPHPが使われていたとしても、更新するのは運営会社であって、ショップ運営者ではありません。運営者にできるのは、公式のお知らせを確認することと、この記事の後半で紹介する管理画面の確認やアカウントの守りを固めることです。
報道では「PHP対応のメンテナンスと思われる」とされている
日本ネット経済新聞は10月21日21時20分の記事（Yahoo!ニュース掲載）で、makeshop、カラーミーショップ、BASEなど導入店舗の多いサービスでシステムメンテナンスの案内が確認できるとし、PHPの脆弱性対応に伴うものと思われる、と伝えています。その後、makeshop自身も完了告知を更新し、PHPの脆弱性を受けた緊急メンテナンスだったと明らかにしています。
WordPress連携や外部サイトを使っているなら、そちらは別に確認する
注意したいのは、makeshopの外にある自社のサイトです。WordPress連携オプションは、別のサーバーに置いたWordPressのブログをショップのURLの下に見せる仕組みです。またカゴだけmakeshopを使えば、外部のWordPressやLP（商品紹介のための1枚もののページ）から買い物カゴに商品を入れられます。こうした外部のサイトは、それを置いているレンタルサーバーのPHPで動いていることが多く、makeshopのメンテナンスとは関係なく、自分たちで確認が必要です。WordPressやプラグインを更新しても今回の弱点は直らず、サーバーのPHPそのものを修正版（8.5.12・8.4.27・8.3.36・8.2.35以上）にする必要があります。8.1以前には公式の修正版が出ていません。確認の手順は解説記事と、エックスサーバーを例にしたサイト運営者の確認点の記事を参考にしてください。
メンテナンス明けに管理画面で確認すること
ここからは、ショップ運営者が10月22日の朝以降に確認しておきたいことです。メニュー名はmakeshopの公式マニュアルの表記に合わせています。
ダッシュボードの「メンテナンス情報」を見る
makeshopのよくある質問では、メンテナンスについては管理画面のダッシュボードにある「メンテナンス情報」で確認するよう案内されています。管理画面に入れないときは、ログインせずに見られるメンテナンス情報のページを使います。メンテナンス中にショップに出る画面はmakeshop指定のもので、ショップ側で変えることはできません。
自分のショップの収容サーバーを確かめる
今回は全サーバーが対象でしたが、今後の告知では「shop○○サーバー」のように一部だけが対象になることもあります。告知によると、自分のショップがどのサーバーに入っているかは、管理画面にログインして、画面右上のショップIDの部分をクリックすると確認できます。一度メモしておくと、次から告知を読むのが早くなります。
メンテナンス前後の注文を注文一覧で確かめる
「注文管理 / 注文一覧」で、10月21日23時の少し前から22日朝までの注文を見ておきます。止まる直前に決済の途中だったお客様がいないか、決済の状態がおかしな注文がないかを見るのが目的です。クレジットカード決済などを使っている場合は、決済代行会社（GMOイプシロンなど）の管理画面の件数や金額と、makeshop側の注文が合っているかも見ておくと安心です。
メールの遅れを確認する
メンテナンス中はmail1〜mail4のメールサーバーで送受信ができませんでした。告知では、その間に届いたメールは基本的に遅れて受信できるとされています。makeshopのメールサーバーを使っている場合は、お問い合わせのメールが遅れて届いていないか、受信箱を朝のうちに一度見ておきましょう。有料オプションの「メール配信プラス」で10月22日に配信を予約していた場合は、未配信になっている可能性があると告知されています（確認中）。
API・アプリ・外部ツールの連携が戻っているか見る
メンテナンス中はAPIが止まっていたため、在庫や受注をまとめて管理する外部ツール（ネクストエンジンなど）や基幹システムと連携しているショップは、連携のエラーや取りこぼしが出ていないかを確認します。アイテムポストを使っている場合も、出品が予定どおり動いているかを見ておきます。MakeRepeaterは10月22日14時から緊急メンテナンスに入るため、メールマガジンの予定がある場合は、復旧の案内を待って配信の予定を組み直します。連携ツール側に再実行の操作がある場合は、それぞれの提供元のマニュアルに沿って対応してください。
ショップの表示と購入の流れを試す
最後に、お客様と同じ目線でショップを開き、トップページ、商品ページ、買い物カゴ、決済画面の手前までが普段どおり動くかを確かめます。スマホでも一度見ておくと確実です。表示されない場合は、よくある質問「ショップが表示できなくなりました。考えられる原因を教えてください。」に、ドメインの期限切れやIP接続制限など、確認すべき点がまとまっています。
アカウントの守りを見直す
今回のような大きな脆弱性の話が出たときは、サービス側の対応を待つだけでなく、自分のショップの入口（管理画面のログイン）を見直すよい機会です。makeshopにはそのための設定がそろっています。
2段階認証のリカバリーコードを保管しておく
2段階認証は、IDとパスワードに加えて、ログインのたびにメールで届く認証コードの入力を求める仕組みです。makeshopでは2025年5月29日から管理画面ログイン時の2段階認証が毎回必須になっています。つまり設定そのものは済んでいるはずなので、確認したいのは、認証コードが届かないときに使う「リカバリーコード」を安全な場所に保管しているかどうかです。分からなくなった場合は「管理画面右上ショップID / アカウント管理」の「2段階認証 リカバリーコード再発行」で再発行できます。
副管理者IDを棚卸しする
スタッフや外部の制作会社に管理画面を使ってもらうときの「副管理者ID」は、アカウント管理の画面で、標準では5つまで作れます。辞めたスタッフや契約が終わった外部の人のIDが残っていないか、必要以上の権限がついていないかを見直しましょう。この画面は主管理者IDでしか操作できません。権限の種類は副管理者利用時の使用権限についてにまとまっています。
ログイン履歴とアラートメールを確認する
「管理画面右上ショップID / セキュリティ / セキュリティ」の画面では、直近100件のログイン履歴（日時、管理者か副管理者か、端末、OS、IPアドレスなど）を確認できます。見覚えのない時間帯や場所からのログインがないかを見ておきます。同じ画面の「アラートメールの送信」を「送信する」にしておくと、いつもと違う環境からのログインを検知したときにメールで知らせてくれます。詳しくはマニュアル「セキュリティ」をご覧ください。
管理画面に入れる場所をIPアドレスで絞る
アカウント管理の画面には「IP接続制限」があり、管理画面にアクセスできるIPアドレス（インターネット上の住所のような番号）を限ることができます。社内や事務所のネット回線からだけ入れるようにすれば、パスワードが漏れた場合の被害を小さくできます。ただし、外出先や自宅から作業する人がいる場合は締め出してしまうので、設定する前に作業する場所を洗い出しておきましょう。
個人情報をダウンロードしたら通知が届くようにする
アカウント管理の「個人情報DL時の通知設定」を「送信する」にすると、注文一覧や会員一覧から個人情報を含むCSVをダウンロードしたときに、指定したメールアドレス（最大3つ）へ通知が届きます。初期値は「送信しない」です。誰かが顧客データを持ち出したときに気づける仕組みなので、スタッフが複数いるショップほど設定しておく価値があります。
API利用設定とアプリを見直す
「アプリ管理」の「利用中のアプリ」タブで、いま入っているアプリを確認し、使っていないものはアンインストールします。いつ何を入れたかは「アプリ管理 > アプリ操作履歴」で月ごとに確認できます。自社で開発したシステムからAPIを使っている場合は、API利用設定で、使うデータの種類が必要な範囲に絞られているかも見ておきましょう。なお、APIを使う自社のシステムがPHPで作られている場合は、そのサーバーのPHPも今回の修正の対象です。
お客様の情報と、問い合わせへの答え方
お客様から「ニュースを見たけど、カード情報は大丈夫？」と聞かれることもあるかもしれません。公式に書かれていることと書かれていないことを分けて答えるのが基本です。
公式に書かれていること・書かれていないこと
| 項目 | 10月22日16時00分時点の公式の記載 |
|---|---|
| メンテナンスの理由 | 「お客さまの情報とサービスの安全を守るための予防的な措置」 |
| PHPの脆弱性との関係 | 「「PHP」に重大な脆弱性が発見されたことを受けた緊急メンテナンス」と明記 |
| お客様の情報やカード情報の漏えい | 現時点で、本脆弱性に起因する不正アクセスや、顧客情報・注文情報の漏えい等は確認されていない |
| ショップ運営者への作業のお願い | 本件でショップ側が特別に対応する必要はない |
このように、公式は「現時点において確認されていない」という言い方をしています。お客様への説明でも、それ以上のこと（「被害は一切ありません」など）を店側が言い切らず、いつの時点の発表かを添えることが大切です。
お客様に聞かれたときの答え方の例
たとえば次のような伝え方なら、事実だけを無理なく伝えられます。「当店が利用しているネットショップのサービスでは、10月21日深夜から22日早朝にかけて、PHPというプログラムの脆弱性を受けた緊急メンテナンスが行われ、現在は完了しています。運営会社からは、現時点でお客様の情報の漏えい等は確認されていないと案内されています。お客様の情報に関して運営会社から新たなお知らせがあった場合は、あらためてご案内いたします。」新しい発表が出たら、内容を確認してから案内を更新してください。
便乗した偽サイトや不審なメールに気をつける
大きなニュースのあとは、それに便乗した「パスワードを確認してください」といった偽のメールが出回りやすくなります。メールのリンクから管理画面にログインせず、ブックマークした正しいログイン画面から入るようにしましょう。お客様から「お店にそっくりなサイトがあった」と連絡があったときの対処は、よくある質問「ショップサイト（自店舗）に似た偽サイトを見かけた場合、どう対処すればよいですか？」にまとまっています。
10月に公表された別の障害（PHPの件とは別の話）
同じメンテナンス情報のページには、10月に入ってから2件の障害報告も載っています。どちらも今回のPHPの件とは別の話で、すでに解消済みです。混同しないよう、分けて紹介します。
10月9日：管理画面ログインと決済画面の障害
10月9日の障害復旧報告によると、14時17分ごろから14時46分ごろまで、管理画面にログインできず、ショップの決済画面にも進めない状態が起きました。原因は、makeshopが使っているクラウド基盤（外部のインフラ）の一時的な不具合と考えられる、とされています。報告には「不正アクセス等の痕跡は確認されておりません」と明記されています。
10月8日：ギガプラス10の.jsonファイルが読み込めない不具合
10月8日の障害復旧報告では、15時20分ごろから19時ごろまで、ギガプラス10に置いた一部の.jsonファイルが読み込めず、表示や動作が不安定になったショップがあったとされています。原因は「セキュリティ対応による影響」で、一部の実装を元に戻して解消したとのことです。何のためのセキュリティ対応だったかは書かれていません。
次の定期メンテナンスは10月27日深夜
あわせて、10月1日のメンテナンス告知では、10月27日（火）1時〜6時と11月25日（水）1時〜6時に、全ショップを対象とした定期のシステムメンテナンスが予定されています。今回と同じく、管理画面やショップ、API、メールが止まるので、セールや配信の予定と重ならないか確認しておきましょう。
サポートに問い合わせる目安
公式のお知らせとマニュアルで解決しないことは、makeshopのサポートに相談します。窓口はサポート一覧にまとまっています。
こんなときは問い合わせる
| 状況 | まずやること |
|---|---|
| ログイン履歴に覚えのないログインがある | 主管理者IDでパスワードを変更し、副管理者IDも見直したうえで、サポートに連絡する |
| メンテナンス後もショップが表示されない、決済に進めない | メンテナンス情報とよくある質問を確認し、解決しなければサポートに連絡する |
| メンテナンス前後の注文や決済の状態がおかしい | 注文番号を控えて、makeshopと決済代行会社の両方に確認する |
| 連携アプリが動かない | アプリの詳細画面に書かれた開発元の窓口に連絡する（アプリのサポートは開発元が担当） |
問い合わせ先と、伝えると早いこと
電話の場合は、カスタマーサポート03-5728-6224（平日10時〜18時）に、ショップIDを手元に用意してかけます。文字でやりとりしたい場合は、管理画面からの質問掲示板やお問い合わせフォームが使えます。サポート一覧では、早く解決するために、例となるURLや会員ID、詳しい操作の流れを書き添えるよう案内されています。「いつ、どの画面で、何が起きたか」をメモしておくと話が早く進みます。
ショップ運営者のチェックリスト
ここまでの内容を一覧にしました。上から順に確認していけば、10月22日中に一通り終わる量です。
| 確認すること | 場所 |
|---|---|
| メンテナンス完了と最新のお知らせ | ダッシュボード「メンテナンス情報」／メンテナンス情報ページ |
| 自分の収容サーバー | 管理画面右上のショップID |
| メンテナンス前後の注文と決済 | 注文管理 / 注文一覧、決済代行会社の管理画面 |
| 遅れて届いたメール | お問い合わせ用のメール受信箱 |
| 外部ツール・アプリの連携 | アプリ管理、連携ツール側の画面 |
| ショップの表示と購入の流れ | 実際のショップ（パソコンとスマホ） |
| リカバリーコードの保管 | アカウント管理「2段階認証 リカバリーコード再発行」 |
| 副管理者IDと権限 | 管理画面右上ショップID / アカウント管理 |
| ログイン履歴とアラートメール | 管理画面右上ショップID / セキュリティ / セキュリティ |
| 外部のWordPressなどのPHP | そのサイトを置いているレンタルサーバーの管理画面 |
よくある質問
Q. makeshopのショップ運営者が、自分でPHPを更新する必要はありますか？
A. makeshopの中では、運営者がPHPを動かしたり選んだりする仕組みはなく、完了告知にも、本件でショップ側が特別に対応する必要はないと書かれています。ただし、WordPress連携のブログや外部のLPなど、別のサーバーに置いているサイトは、そのサーバーのPHPを確認してください。
Q. 10月21日夜のメンテナンスはPHPの脆弱性のためですか？
A. はい。完了告知が更新され、「PHP」に重大な脆弱性が発見されたことを受けた緊急メンテナンスだったと明記されました。最初の告知では「予防的な措置」とだけ書かれていました。
Q. お客様の情報やカード情報は漏れていませんか？
A. 10月22日16時00分時点の公式のお知らせでは、本脆弱性に起因する不正アクセスや、顧客情報・注文情報の漏えい等は、現時点において確認されていないとされています。お客様には、その時点の公式の発表として伝え、新しい発表があれば案内する、という形にとどめるのが安全です。
Q. メンテナンス中に届いたメールは消えてしまいましたか？
A. 告知では、メンテナンス中に送られてきたメールは、基本的には遅れて受信できるとされています。22日の朝以降に受信箱を確認し、届いていないと思われる問い合わせがあれば、お客様に再送をお願いしてください。
Q. 2段階認証は自分で設定する必要がありますか？
A. makeshopでは2025年5月29日から管理画面ログイン時の2段階認証が毎回必須になっています。新たに設定する必要はありませんが、リカバリーコードの保管と、副管理者IDごとの認証用メールアドレスが正しいかは確認しておきましょう。
Q. 最新の情報はどこで確認すればよいですか？
A. 管理画面のダッシュボード「メンテナンス情報」と、ログインせずに見られるメンテナンス情報のページです。SNSの投稿には推測が混ざりやすいので、社内やお客様への案内には公式の情報を使ってください。
参考にした公式ページ
- makeshop「【「PHP脆弱性」緊急メンテナンス完了告知】2026年10月21日（水）〜22日(木) 深夜にシステムメンテナンスを実施いたしました。」
- makeshop「【MakeRepeater緊急メンテナンス告知】2026年10月22日（木）MakeRepeater システムメンテナンスを実施いたします」
- makeshop「【障害復旧報告】makeshop管理画面にログインできない、およびショップの決済画面へ進めない事象が発生しておりました。」（2026年10月9日）
- makeshop「【障害復旧報告】ギガプラス10に.jsonファイルを格納されている一部のショップ様におきまして表示や動作が不安定な状況が発生しておりました。」（2026年10月8日）
- makeshop「【メンテナンス告知】2026年10月27日(火)、2026年11月25日(水)深夜にシステムメンテナンスを実施いたします。」
- makeshopよくある質問「PerlやPHPなどのプログラムを利用することはできますか。」
- makeshopよくある質問「【管理画面ログイン】パスワードルール変更と2段階認証必須化について教えてください。」
- makeshopマニュアル「アカウント管理」
- makeshopマニュアル「セキュリティ」
- makeshopマニュアル「サポート一覧」
- PHP公式「Security advisory: Critical remote code execution vulnerabilities, update now」（2026年10月21日）
- IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（2026年10月21日）
- 日本ネット経済新聞「PHPの脆弱性対応がEC業界にも大きな影響 主要カートシステムなどが一定期間利用不可に」（Yahoo!ニュース、2026年10月21日）
THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。
