ショップサーブのPHP脆弱性への対応とは、2026年10月21日に修正版が公開されたPHPの重大な脆弱性2件（CVE-2026-109618・CVE-2026-109619、通称php2shell）について、ショップサーブを使うネットショップが確認しておきたいことです。結論から言うと、2026年10月22日16時00分時点で、運営元の株式会社Eストアーの公式サイトには、この脆弱性についてのお知らせは見当たりませんでした。一方で、公式のよくある質問には「自動生成されるページではPHPを利用できない」「自作ページではPHPを利用できる」と書かれています。標準のお店ページだけで運営している店舗と、自作ページやWordPressオプションでPHPを使っている店舗とでは、確認することが変わります。
速報（2026年10月22日16時00分時点・当社調べ）
| PHPの脆弱性への対応 | 公式の告知なし |
| 管理画面・ログイン | 停止の告知なし（公式の発表がなく、当社ではログイン画面の状態までは確認できていません） |
| サイト・サービスの表示 | 通常どおり（停止の告知はなく、Eストアーの公式サイトとオンラインサポートは通常どおり表示） |
| 確認した公式ページ | Eストアー プレスルーム／ショップサーブからのお知らせ／ショップサーブのお知らせ |
状況は変わることがあります。最新の情報は公式ページでご確認ください。
この記事は、2026年10月22日16時00分時点でEストアーが公開している情報と、PHP公式などの発表をもとにしています。Eストアーから新しい案内が出た場合はそちらが優先です。最新の情報はEストアーの公式サイト、または管理画面のお知らせでご確認ください。
2026年10月22日16時00分時点で分かっていること
要点は、「PHPの件について、Eストアーの公式な発表はまだ見当たらない。標準のお店ページはPHPを使わないと公式に案内されているが、自作ページやWordPressを使っている店舗は個別の確認が必要」ということです。確認した内容を表にまとめます。
| 確認したこと | 10月22日16時00分時点の状況 |
|---|---|
| PHPの脆弱性についての公式発表 | Eストアーのプレスルーム、ショップサーブのお知らせ、ショップサーブからのお知らせ（店舗向け）のいずれにも見当たらない |
| 標準のお店ページ（自動生成ページ） | 公式のよくある質問で「PHPを利用できません」と案内されている |
| 自作ページ | 店舗が自分で設置する範囲でPHPを利用できる（公式マニュアルにPHP 7.4・7.2・5.4の記載あり） |
| WordPressオプションサービス | Eストアーのサーバー上で動く。WordPressとプラグインの更新は店舗側の作業とされている |
| 10月21日のメンテナンス | 9月16日に予告されていた定期メンテナンス（午前2時〜8時予定）。PHPの件との関係は案内されていない |
| お客様の情報への影響（PHPの件） | 公式の発表がないため、影響の有無は分からない |
なお、ショップサーブでは2026年5月から8月にかけて別の不正アクセスがあり、10月16日に最終報が出ています。これはPHPの脆弱性とは時期も原因も違う別の話なので、後半の章で分けて説明します。
PHPの脆弱性「php2shell」のおさらい
PHPは、多くのWebサイトやネットショップのしくみを動かしているプログラム言語です。今回見つかった2件の弱点は、ログインしていない外部の人が、サーバー上で勝手に命令を動かせてしまうおそれがあるものでした。脆弱性の中身と、修正版公開までの流れはPHPの重大な脆弱性（CVE-2026-109618/109619）｜サイト運営者の準備と確認で詳しく解説しています。
PHP公式は日本時間の2026年10月21日23時ごろ、修正版のPHP 8.5.12・8.4.27・8.3.36・8.2.35を公開しました（PHP公式の発表）。PHP 8.1以前には、公式の修正版は出ていません。また、WordPressやプラグインを更新しても今回の弱点は直らず、PHPそのものを直す必要があります。
10月21日は、修正版の公開を前に、国内のレンタルサーバーやネットショップのサービスが相次いで一時停止しました。BASEやカラーミーショップなど、ほかのネットショップ作成サービスでも停止の案内が出ています。一日の流れは2026年10月21日、PHPの重大な脆弱性で何が起きたか（まとめ）に、レンタルサーバー側の動きの一例はエックスサーバーの管理画面停止（10/21）にまとめています。
Eストアーの公式発表を確認した結果
Eストアーが情報を出している公式ページを順に確認しましたが、PHPの脆弱性に触れたお知らせはありませんでした。「発表がない」ことは「影響がない」ことと同じではないので、その点は分けて受け止めてください。
確認した公式ページ
確認したのは、Eストアーのプレスルーム、ショップサーブのサービスサイトのお知らせ、店舗向けにメンテナンスや新機能を案内しているショップサーブからのお知らせ、オンラインサポートの4つです。プレスルームの最新は10月16日の不正アクセス最終報、サービスサイトのお知らせの最新は8月6日の掲載でした。公式のXアカウント（@estoreshopserve）は、こちらの環境から投稿を読み込めず、確認できていません。
10月21日の定期メンテナンスとの関係
ショップサーブからのお知らせによると、10月21日には年内最後のメンテナンスが行われました。ただし、このメンテナンスは9月16日の時点で「2026年10月21日（水）午前2時〜午前8時予定」と予告されていたもので、PHPの件が広く知られる前から決まっていた定期のものです。PHPの対応を含むかどうかは案内されていません。次回は2027年1月20日（水）午前2時〜8時の予定とされています。
なお、10月21日付の店舗向けお知らせには、海外発行カードの与信（購入時にカードの利用枠を確保すること）の有効期限が11月1日から5日に短くなること、カード決済システムの更新のため会員統合機能の「統合予約」を2027年3月31日まで止めることが書かれています。どちらもカード会社側のルール変更や決済システムの更新が理由とされており、PHPの件と結びつける記述はありません。
ショップサーブでPHPが関わるところ
ショップサーブの中身がどのプログラムで動いているかは公表されていません。そのうえで、公式のマニュアルとよくある質問から、店舗の作業でPHPが関わる場所を整理すると、次の3つに分かれます。
標準のお店ページ（自動生成ページ）
テーマを選んで管理画面から作るお店ページやカートは、Eストアーが自動で作るページです。公式のよくある質問（No.11）では「自動生成されるページでは、PHPを利用できません」と案内されています。店舗がPHPの版を選んだり更新したりする場面はなく、サーバー側の対応はEストアーの領域です。
自作ページに置いたPHPやCGI
FTPでアップロードする自作ページでは、店舗が自分で設置する範囲でPHPを使えます。公式マニュアル「サーバーの仕様・CGIの利用について」には、PHPのパスとして7.4・5.4・7.2で動くものが書かれています（10月22日時点の掲載内容）。いずれもPHP公式の修正版が出ないバージョンです。Eストアーがこれらに独自の修正を入れたかどうかは公表されていないため、自作ページでPHPを使っている店舗は、ストアーデスクに確認するのが確実です。
WordPressオプションサービス
お店のブログや特集ページ用に、ショップサーブにはWordPressを使えるオプションがあります。WordPressはPHPで動くため、今回の脆弱性と関係があります。公式マニュアル（WordPressオプションサービスについて）では、WordPressとプラグインの更新は店舗側で行うこと、緊急の更新が必要な場合は最新版になるまで利用を止める場合があることが書かれています。PHP本体はEストアーのサーバー側のため、どの版で動いているか、修正が済んでいるかはEストアーへの確認になります。
ショップ運営者のチェックリスト
標準のお店ページだけで運営している店舗は、ステップ1と4〜6を中心に見れば十分です。自作ページやWordPressを使っている店舗は、ステップ2と3も確認します。メニュー名は公式のオンラインサポートの表記に合わせています。
| 確認すること | 管理画面の場所 | 対象の店舗 |
|---|---|---|
| Eストアーからの案内 | ショップサーブからのお知らせ、登録メール | 全店舗 |
| 自作ページのPHP・CGI | サーバー ＞ FTPアカウント（FTPで中身を確認） | 自作ページを使う店舗 |
| WordPressの利用状況 | オプションサービス ＞ WordPressの設定 | WordPressオプション利用店舗 |
| ログインアカウントと権限 | 契約情報・各種手続き ＞ ログイン権限の設定 | 全店舗 |
| 二段階認証 | 契約情報・各種手続き ＞ 二段階認証の設定 | 全店舗 |
| API・外部ツールの接続 | サーバー ＞ ショップサーブAPI | 連携ツールを使う店舗 |
ステップ1｜Eストアーの案内を確認する
管理画面のお知らせと、「ショップサーブからのお知らせ」のページ、担当者として登録しているメールアドレスを確認します。PHPの件で作業が必要になった場合は、ここで案内されると考えられます。数日は毎日見ておくと安心です。
ステップ2｜自作ページでPHPを使っていないか確かめる
FTPソフトでサーバーに接続し、docsフォルダやcgi-binフォルダに、拡張子が.phpのファイルや、1行目に「#!/usr/local/bin/php」と書かれた.cgiのファイルがないかを見ます。自作の問い合わせフォームや、昔の制作会社が置いたプログラムが残っていることがあります。見つかった場合は、今も使っているかを確かめ、使っていないものはバックアップを取ってから外すことを検討し、使っているものはストアーデスクに今回の対応状況を確認します。
ステップ3｜WordPressオプションを使っているか確かめる
管理画面の「WordPressの設定」を開き、申し込み済みかどうかを確認します。使っている場合は、WordPress本体とプラグインを最新にしておきます（今回のPHPの弱点は直りませんが、別の弱点をふさぐ意味があります）。そのうえで、PHP側の対応状況をストアーデスクに確認します。マニュアルにあるとおりphpMyAdmin（データベースを操作する画面）は使えないため、バックアップはプラグインかFTPで取っておきます。
ステップ4｜ログインアカウントと権限を見直す
「契約情報・各種手続き」画面の下部にある「ログイン権限の設定」で、発行しているアカウントの一覧を見ます（公式マニュアル150）。辞めたスタッフや、契約が終わった制作会社のアカウントが残っていないかを確認します。外部の制作会社には、注文や顧客の情報を見られない「ページ制作」の権限だけを渡す方法も公式に用意されています。マスターアカウントのパスワードも同じ画面から変更できます（公式マニュアル149）。
ステップ5｜二段階認証を設定する
「契約情報・各種手続き」画面の下部にある「二段階認証の設定」から、ログインのたびにメールで届く確認コードを求める設定ができます（公式マニュアル266）。1つのログインIDを複数人で使い回さないこと、確認コードを受け取るメールがショップサーブの管理画面を通さずに読めることも、マニュアルで注意されています。受注や在庫を自動で処理するRPA（パソコン操作を自動化するツール）を使っている場合は、二段階認証を設定しない専用のIDを分ける方法が案内されています。
ステップ6｜API認証キーとFTPのパスワードを確認する
受注管理や在庫連携などの外部ツールをショップサーブAPIでつないでいる場合は、「サーバー ＞ ショップサーブAPI」で認証キーを確認します。公式のよくある質問では、認証キーに有効期限はないものの、定期的な更新がすすめられています。FTPのパスワードを変えた場合は、Googleショッピング広告用のデータフィードなど、FTPを使う外部設定も直す必要があると案内されています。どちらも、連携先が止まらないよう業務の少ない時間に行います。
お客様の情報とカード情報について
PHPの件で、お客様の情報やカード情報に影響があったかどうかは、Eストアーから何も発表されていないため分かりません。ここは推測で「大丈夫です」とも「漏れたかもしれません」とも言わないことが大切です。
カード番号の扱いについて公式に分かっていること
参考になるのは、8月の不正アクセスの最終報にある説明です。Eストアーは、完全なカード番号とセキュリティコードを自社では保持していないとしています。これは不正アクセスの件での説明ですが、ショップサーブのしくみとして、カード番号の全桁をEストアーが持っていないことは公式に示されています。
また、Eストアーは、カード情報の再入力や再決済を求める連絡はしないと案内しています。騒ぎに便乗した偽のメールが出回ることもあるため、店舗からお客様にカード情報の再入力を求める連絡は出さないようにします。
お客様から聞かれたときの答え方
ニュースを見たお客様から「このお店は大丈夫ですか」と聞かれることがあります。分かっていることだけを、短く正直に伝えるのが基本です。
PHPの件を聞かれたとき
例えば次のように答えます。「お問い合わせありがとうございます。当店はショップサーブ（株式会社Eストアー）のしくみを利用しています。10月21日に公表されたPHPの脆弱性について、現時点でEストアーからお客様の情報に関わる発表は出ていません。新しい案内があれば当店からもお知らせします。」。自作ページなどで確認中のことがあれば、「確認中です」と添えます。
8月の不正アクセスの件を聞かれたとき
対象のお客様には、Eストアーから個別の連絡が済んでいるとされています。お客様自身が対象かどうか、どの店舗で使った情報かを知りたい場合は、Eストアーの「個人情報に関するお客様ご相談窓口」が受け付けているので、最終報のページを案内します。
別の話：8月の不正アクセス最終報（10月16日）
ここからは、PHPの脆弱性とは別の事案です。Eストアーは2026年10月16日、ショップサーブへの不正アクセスについて最終報を出しました。攻撃の期間は5月21日から8月1日で、PHPの脆弱性が公表された10月より前に終わっています。
最終報の要点
| 項目 | 最終報の内容 |
|---|---|
| 期間と原因 | 2026年5月21日〜8月1日。サーバー上のアプリケーションの脆弱性を悪用され、データベースの情報が外部に送られていた |
| 対象 | 約23,356,000人（概数）、7,858店。うち約2,096,900人はカード情報の一部を含む |
| カード情報の範囲 | カード名義、カード番号の先頭6桁と下4桁、有効期限。完全な番号とセキュリティコードは対象外 |
| 店舗に関する情報 | 管理画面のログインID・パスワード、コンビニ払込票に載る店舗情報など |
| 二次被害 | 公表時点で報告なし。ダークウェブでの流出も確認されていない |
| 対策 | 脆弱性の修正、認証情報のリセット、管理画面の二要素認証・二段階認証を含む認証強化など |
PHPの件と混同しない
最終報は「アプリケーションの脆弱性」と書いており、PHPの今回の弱点とは書かれていません。時期も重なっていません。社内やお客様への説明では、「8月に発覚した不正アクセス（10月16日に最終報）」と「10月21日に公表されたPHPの脆弱性」を別の項目として扱うと誤解が生まれにくくなります。
この件で店舗が見直したいこと
管理画面のログイン情報が対象に含まれていたため、Eストアー側でリセットが行われています。リセット後に設定したパスワードを、ほかのサービスと使い回していないかを確認します。購入者向けマイページは8月6日にログインのしくみが強化され、昔の仮パスワードのままの会員はログインできない場合があると公式のお知らせで案内されています。お客様から「ログインできない」と連絡があったら、ログイン画面の「パスワードをお忘れの方はこちら」からの再設定を案内します。
ストアーデスクに問い合わせるとき
標準のお店ページだけで運営していて、お知らせにも特に案内がなければ、急いで問い合わせる必要はありません。次の場合は、ショップIDを手元に用意して店舗向けの窓口に連絡します。窓口はEストアー ストアーデスク（電話 03-6434-0946、平日10時〜18時、メール sp@estore.co.jp）です。
問い合わせたほうがよい場合
自作ページでPHPのプログラムを使っている場合、WordPressオプションを使っている場合、管理画面に見覚えのないログインや設定の変更がある場合、身に覚えのない二段階認証のメールが届いた場合です。聞くことは「自作ページ（またはWordPress）が動いているPHPに、今回の修正は適用済みか」「店舗側で必要な作業はあるか」の2点に絞ると、回答をもらいやすくなります。
制作会社に任せている場合
自作ページやWordPressを制作会社が作った場合は、どのファイルでPHPを使っているかを制作会社に聞くのが早道です。制作の現場では、何年も前に置いた問い合わせフォームのプログラムが、誰も気づかないまま残っている例をよく見かけます。今回を機に、使っていないプログラムを整理しておくと、次に同じようなことが起きたときの確認も楽になります。
よくある質問
Q. ショップサーブの店舗は、自分でPHPを更新する必要がありますか？
A. 標準のお店ページについては、店舗がPHPを更新する場面はありません。公式に「自動生成されるページではPHPを利用できない」と案内されています。自作ページやWordPressオプションでPHPを使っている場合は、サーバー側の対応状況をストアーデスクに確認してください。
Q. Eストアーは今回のPHPの件で発表を出していますか？
A. 2026年10月22日16時00分時点で、公式サイトのプレスルームやお知らせには見当たりませんでした。管理画面や登録メールで案内される可能性もあるため、そちらも確認してください。
Q. 10月21日にショップサーブは止まっていましたか？
A. 10月21日の午前2時〜8時に定期メンテナンスが予定されていました。9月16日に予告されていたもので、PHPの件と関係があるとは案内されていません。それ以外の停止については、公式の案内は見当たりませんでした。
Q. お客様のカード情報は大丈夫ですか？
A. PHPの件については、影響の有無が公式に発表されていないため分かりません。なお、Eストアーは完全なカード番号とセキュリティコードを保持していないと説明しています。
Q. 8月の不正アクセスとPHPの脆弱性は同じ件ですか？
A. 別の件です。不正アクセスは2026年5月21日から8月1日にかけて起き、10月16日に最終報が出ました。PHPの脆弱性は10月21日に修正版が公開されたもので、最終報にPHPとの関係は書かれていません。
Q. WordPressオプションを使っています。プラグインの更新で防げますか？
A. 今回の弱点はPHP本体にあるため、WordPressやプラグインの更新では防げません。更新自体はほかの弱点への備えとして続け、PHP側の対応はEストアーに確認してください。
参考にした情報（2026年10月22日に確認。Eストアーのお知らせ類は16時00分に再確認）
- Eストアー｜不正アクセスによる個人情報漏えいに関するお知らせ（最終報）2026年10月16日
- ショップサーブからのお知らせ（2026年10月21日・9月16日掲載分）
- ショップサーブ｜購入者向けマイページのログイン認証システム変更のお知らせ
- ショップサーブ よくある質問 No.11「CGIやPHPは利用できますか？」
- ショップサーブ オンラインサポート｜自作ページ・サーバーの仕様
- ショップサーブ オンラインサポート｜WordPressオプションサービスについて
- ショップサーブ オンラインサポート｜管理画面ログインに二段階認証を設定する
- PHP公式｜セキュリティリリースの発表（2026年10月21日）
- IPA｜【事前準備のお願い】PHPのセキュリティリリース公開予定について
THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。
