2026年10月21日夜、PHP（Webサイトを動かすプログラムの言語の一つ）に見つかった重大な脆弱性（CVE-2026-109618・CVE-2026-109619、通称「php2shell」）の修正版が公開され、国内でもネットショップ作成サービスを含む多くのサービスが緊急メンテナンスに入りました。STORES（ストアーズ）でネットショップを運営している方の中には、「うちのお店は大丈夫なのか」「お客様に何か伝えたほうがいいのか」と気になっている方も多いと思います。
結論から言うと、STORESは10月22日の午前、ヘルプセンターに「【セキュリティ】PHPの脆弱性によるSTORESへの影響はありますか？」という記事を出し、「STORES のシステムではPHPを使用していないため、PHPの脆弱性による直接的な影響はありません」と案内しました。2026年10月22日16時00分時点で、10月21日〜22日に緊急メンテナンスやサービス停止をしたという告知は見当たりません。この記事では、確認した公式情報と、ショップ運営者が落ち着いて見直しておきたい点を順番にまとめます。脆弱性そのものの説明はPHPの重大な脆弱性（CVE-2026-109618/109619）の解説記事、国内全体の動きは10月21日に何が起きたかのまとめ記事をご覧ください。
速報（2026年10月22日16時00分時点・当社調べ）
| PHPの脆弱性への対応 | 対応不要と案内（STORESは「PHPを使用していないため、PHPの脆弱性による直接的な影響はありません」と発表） |
| 管理画面・ログイン | 入れる（停止の告知はなく、ログイン画面が通常どおり表示されることを確認。ログインはしていません） |
| サイト・サービスの表示 | 通常どおり |
| 確認した公式ページ | 【セキュリティ】PHPの脆弱性によるSTORESへの影響はありますか？、STORES ヘルプセンター、STORES株式会社のニュース |
状況は変わることがあります。最新の情報は公式ページでご確認ください。
まず押さえたい3つのポイント
細かい話に入る前に、ショップ運営者として知っておきたい要点を3つに絞ります。
STORESは「PHPの脆弱性による直接的な影響はない」と案内している
10月22日9時30分の時点では、STORESの公式のどこにもPHPの脆弱性に触れた記事はありませんでしたが、その後STORES ヘルプセンターに「【セキュリティ】PHPの脆弱性によるSTORESへの影響はありますか？」が公開されました。STORESのシステムではPHPを使っていないので、直接的な影響はないという内容です。あわせて、2段階認証の設定とパスワードの見直しをすすめています。
ショップ運営者がPHPを更新する必要はない
STORES ネットショップは、STORESがサーバーやプログラムをまとめて管理するサービスです。レンタルサーバーのように、運営者がPHPのバージョンを選んだり更新したりする場面はありません。仮に何か対応が必要だとしても、それはSTORES側の作業になります。
お店の別サイトやブログは別に確認が必要
注意したいのは、STORESとは別に、お店の公式サイトやブログをレンタルサーバー上のWordPressで運営している場合です。こちらはPHPで動いているので、今回の脆弱性の影響を受けます。ネットショップはSTORES、ブランドサイトはWordPress、という組み合わせのお店は少なくありません。この点は後の章で詳しく触れます。
STORESが公表していること（10月22日16時00分時点）
確認した公式の情報源と、そこに書かれていた内容を整理します。公式に書かれていることと、書かれていないことを分けて並べています。
ヘルプセンターに「PHPの脆弱性による直接的な影響はない」と掲載
「【セキュリティ】PHPの脆弱性によるSTORESへの影響はありますか？」では、「STORES のシステムではPHPを使用していないため、PHPの脆弱性による直接的な影響はありません」と書かれています。そのうえで、より安全に使うための対策として、STORES アカウントでの2段階認証の設定と、「12文字以上・英字、数字、記号の組み合わせ」のパスワードへの見直しをお願いしています。
ニュースとお知らせ一覧に、脆弱性やメンテナンスの記事はない
STORES株式会社のニュースの10月分は、店舗受取機能（10月21日）、STORES BGM（10月15日）、STORES 資金調達（10月13日）、年末年始のキャンペーン（10月5日）の4本で、PHPの脆弱性に触れたものはありません。STORES ヘルプセンターの「お知らせ一覧」で最も新しいメンテナンスの記事は、2026年7月のSTORES 決済のシステムメンテナンスでした。
公式Xにも10月21日〜22日の停止の投稿はない
STORESの公式Xで9時30分の確認時点に直近に投稿されていたのは、店舗受取機能やイベントの案内です。同じ時期にBASEは10月21日15時50分から全サービスを止めると告知し、「利用しているPHPに重大な脆弱性」と理由も書いていましたが、STORESには停止の告知は見当たりません。
STORESのサーバー側はRuby on Railsと紹介されている
STORES株式会社が技術者向けに公開している会社紹介資料では、STORES ネットショップとSTORES レジのサーバー側の言語は「Ruby, Ruby on Rails」と書かれています（RubyはPHPとは別のプログラミング言語です）。今回ヘルプセンターで「PHPを使用していない」と案内されたことと、話が合っています。
| 確認した公式情報 | PHPの脆弱性への言及 | 10月21日〜22日のメンテナンス告知 |
|---|---|---|
| STORES ヘルプセンターの記事「PHPの脆弱性によるSTORESへの影響はありますか？」 | あり（PHPを使っていないため直接的な影響はない） | なし |
| STORES株式会社のニュース | なし | なし |
| STORES ヘルプセンターのお知らせ一覧 | なし | なし（最新は7月のSTORES 決済） |
| STORES 公式X（@stores_jp、9時30分の確認時点） | なし | なし |
| セキュリティの取り組みページ | なし（脆弱性診断を定期的に行うと記載） | ― |
お客様の情報やカード情報について公式に分かっていること
ショップ運営者がいちばん心配なのは、お客様の個人情報やクレジットカード情報だと思います。ここは公式に書かれていることだけをお伝えします。
今回の件で情報が漏れたという発表はない
10月22日16時00分時点で、STORESから「不正アクセスがあった」「お客様の情報が漏れた」という発表は出ていません。2026年10月にSTORESで別の事故や障害が公表されたという情報も、確認した範囲では見つかりませんでした。
STORESが公開しているセキュリティの取り組み
セキュリティの取り組みについてのページでは、通信の暗号化（HTTPS）、大事なデータを暗号化した保管場所に置いていること、脆弱性の情報を定期的に集めてリスクに応じて対応していること、脆弱性診断を定期的に行っていること、情報セキュリティの国際規格（ISO/IEC 27001に対応するJIS Q 27001）の認証を取っていることが説明されています。サーバーはAWSとGoogle Cloudの日本の拠点を使っているとのことです。
カード情報の持ち方は今回の確認範囲では書かれていない
購入者のクレジットカード情報をどこでどう保管しているかについて、はっきり書かれたページは今回の確認範囲では見つかりませんでした。推測で「大丈夫です」とお客様に伝えるのは避け、気になる場合はSTORESに問い合わせるのが確実です。なお、よくある質問によると、STORES ネットショップには2025年3月までにEMV 3-Dセキュア（カード会社による本人確認の仕組み）が順次導入されています。
ショップ運営者のチェックリスト（管理画面で見直すこと）
STORESから求められている作業はありません。ただ、大きなセキュリティの話題が出たときは、自分のお店の守りを点検するよい機会です。今回の脆弱性と直接の関係はありませんが、乗っ取りや不正な変更を防ぐうえで効果のある項目を、公式ヘルプのメニュー名で並べます。
1. ダッシュボードのお知らせ（ベルマーク）を見る
STORESのWeb管理画面（ダッシュボード、https://dashboard.stores.app/）にログインし、画面上のお知らせ（ベルマーク）に重要な案内が来ていないか確認します。公式ヘルプでも、障害情報はベルマークと公式Xで発信すると案内されています。お知らせはメールのリンクからではなく、ブックマークしたページから開くようにしてください。
2. 2段階認証を設定する
2段階認証は、パスワードに加えてSMSや認証アプリのコードでも本人確認をする機能です。公式の手順では、STORES アカウント（https://id.stores.jp/）にログインし、「SMSを利用」または「認証アプリを利用」の［設定する］から登録します。設定の最後に出るリカバリーコードはあとから見直せないので、必ず安全な場所に控えてください。
3. パスワードを見直す
STORESの推奨は、英字・数字・記号を含む12文字以上で、ほかのサービスと同じパスワードを使い回さないことです。仕入れ先のサイトやメールと同じパスワードにしている場合は、この機会に変えておきましょう。
4. 従業員と権限を整理する
複数人で運営している場合は、従業員の一覧に、辞めたスタッフや今は関わっていない外部の人が残っていないか確認します。STORESには「店舗の権限」と「事業者の権限」があり、事業者オーナーは従業員の追加・削除やプラン変更、外部サービス連携までできる強い権限です。発送だけ担当する人には店舗の権限だけを渡すなど、必要な分だけに絞るのが安全です。削除の方法は公式ヘルプの「従業員を削除するにはどうしたらいいですか？」に載っています。
5. 外部サービスとの連携を見直す
在庫管理や発送代行、SNS販売などの外部サービスと連携している場合は、使っていない連携が残っていないか確認します。公式ヘルプでは、STORES アカウントのページ内の「連携中のサービス」から連携を解除できると案内されています。制作会社やシステム会社に頼んで開発者向けAPI連携（STORESのデータを外部のシステムから読み書きできる仕組み）を使っている場合は、依頼先にも今回の件で確認しておくと安心です。
6. 登録情報と振込口座が変わっていないか確かめる
念のため、売上の振込先口座、ログイン用・通知用のメールアドレスが自分の知っている内容のままか見ておきます。プラン料金の支払いカードは、管理画面ホームの「共有管理」にある［プランと契約］＞［支払方法］から確認できると公式ヘルプに書かれています。
7. ショップの公開状態を確認する
ショップがいつもどおり公開されているかも見ておきましょう。公開・非公開は［サイト設定］の「ネットショップの公開」、または左メニュー［サイト］＞［ネットショップ］＞［ステータス］で確認できます（管理画面の表示の種類で場所が違います）。公式ヘルプによると、「このストアは現在公開できません」と出る場合は、STORESから個別にメールで案内が届いている可能性があります。
| 確認すること | 場所（公式ヘルプのメニュー名） | 目安 |
|---|---|---|
| 重要なお知らせ | ダッシュボードのお知らせ（ベルマーク） | 今日 |
| 2段階認証 | STORES アカウント（id.stores.jp） | 今日 |
| パスワード | STORES アカウント | 使い回しがあれば今日 |
| 従業員と権限 | 従業員管理（事業者の権限・店舗の権限） | 今週中 |
| 外部サービス連携 | STORES アカウントの「連携中のサービス」 | 今週中 |
| 振込口座・メールアドレス | 事業者設定・売上振込の設定（よくある質問の分類名） | 今週中 |
| 公開状態 | サイト設定（ネットショップの公開／ステータス） | 今日 |
見覚えのない通知メールが届いたら
大きなニュースのあとは、それに便乗したなりすましメールも増えがちです。STORESが自動で送る通知の中で、知っておくと役に立つものを2つ紹介します。
「新規ログインに使用されました」というメール
いつもと違う環境からログインがあると、件名「【重要】ご利用の STORES アカウントが新規ログインに使用されました」のメールが hello@stores.jp から届きます。公式ヘルプでは、自分で別のWi-Fiや端末からログインした場合にも届くこと、心当たりがなければすぐにパスワードを変えることが案内されています。
「登録情報が変更されました」というメール
ストアの登録情報が変わると、件名「【STORES】登録情報が変更されました」のメールが届きます。公式ヘルプでは、覚えがない場合はまずログインできるか、別の担当者が変えていないかを確かめ、それでも分からなければ、メールのスクリーンショットや受信日時、変わったと思われる情報（銀行口座・メールアドレス・パスワードなど）を添えて問い合わせるよう案内されています。
メール内のリンクからはログインしない
「脆弱性対応のため再ログインしてください」「アカウント確認が必要です」といったメールが届いても、メールのリンクは押さずに、ブックマークしたダッシュボードから直接ログインして確認しましょう。STORESの公式のお知らせは、ダッシュボードのベルマークとヘルプセンターで確認できます。
お客様から聞かれたときの答え方
ニュースを見たお客様から「このお店で買っても大丈夫？」と聞かれることがあるかもしれません。分かっていないことを「安全です」と言い切らず、公式に分かっている範囲で答えるのが誠実です。
そのまま使える返信の例
「お問い合わせありがとうございます。当店のネットショップはSTORESのサービスを利用しています。STORESからは、システムでPHPを使っていないため今回のPHPの脆弱性による直接的な影響はない、と案内されています。お客様情報の流出についての発表も出ていません。今後STORESから新しい案内があった場合は、当店からもお知らせします。」
言わないほうがよいこと
「絶対に安全です」「カード情報は保存されていません」といった、公式の案内より強い言い切りや、公式に確認できていない断定は避けます。あとで違う発表が出たときに、お店の信用に響いてしまうからです。お客様ご自身の対策としては、カードの利用明細をときどき確認していただく、という一般的な案内で十分です。
お店の公式サイトやブログがWordPressの場合
STORES ネットショップとは別に、お店の紹介サイトやブログをWordPressで作っている場合は、こちらが今回の本題になります。WordPressはPHPで動いているためです。
PHPのバージョンが修正版かを確かめる
修正版はPHP 8.5.12・8.4.27・8.3.36・8.2.35です。PHP 8.1以前には公式の修正版が出ていないので、8.2以上への切り替えが必要になります。WordPressなら「ツール」＞「サイトヘルス」＞「情報」＞「サーバー」で今の番号を確認できます。PHPの更新そのものはレンタルサーバー会社が行い、利用者は使うバージョンを選ぶ形です。
WordPressやプラグインの更新だけでは直らない
今回の弱点はPHP本体にあるので、WordPress本体やプラグインを最新にしても解決しません。サーバー会社ごとの動きは、エックスサーバーの管理画面停止の記事や国内の動きのまとめ記事にまとめています。
STORESのサポートに問い合わせたほうがよいとき
次のようなときは、自分だけで判断せずSTORESに相談しましょう。サポート窓口へのお問い合わせ方法によると、ネットショップは「STORES ネットショップ」のお問い合わせフォームが窓口で、チャットボットは24時間使えます。
- 心当たりのない「新規ログイン」「登録情報が変更されました」のメールが届いた
- いつものパスワードでログインできなくなった
- 振込口座やメールアドレスが自分の知らない内容に変わっている
- 「このストアは現在公開できません」と表示される
- お客様から、身に覚えのない請求や不審なメールについて連絡があった
問い合わせるときは、ストアのURL、登録しているメールアドレス、起きた日時、画面のスクリーンショットを添えると話が早く進みます。
よくある質問
Q. STORESのショップは今回の脆弱性の影響を受けますか？
A. STORESはヘルプセンターで、「STORES のシステムではPHPを使用していないため、PHPの脆弱性による直接的な影響はありません」と案内しています（「【セキュリティ】PHPの脆弱性によるSTORESへの影響はありますか？」）。
Q. 10月21日の夜、STORESは止まっていましたか？
A. 緊急メンテナンスや停止の告知は、ヘルプセンターにも公式Xにも見当たりませんでした。
Q. 運営者がPHPを更新する必要はありますか？
A. ありません。STORES ネットショップでは、運営者がPHPのバージョンを触る場面はありません。別にWordPressのサイトを持っている場合だけ、そちらのPHPを確認してください。
Q. お客様に一斉にお知らせを出したほうがいいですか？
A. STORESが直接的な影響はないと案内しているので、お店から一斉に案内を出す必要はないと考えます。聞かれたときに、この記事の返信例のように公式の状況をそのまま伝えれば十分です。
Q. STORES 決済やSTORES 予約も同じですか？
A. ヘルプセンターのお知らせ一覧には、STORES 決済・レジ・予約についても今回の件の告知はありませんでした。決済端末やレジアプリで普段と違う動きがあれば、各サービスの窓口に問い合わせてください。
Q. 2段階認証を設定すると脆弱性への対策になりますか？
A. 今回のPHPの脆弱性そのものへの対策ではありません。ただ、パスワードが漏れたときの乗っ取りを防ぐ効果は大きく、まだの方には設定をおすすめします。
この記事は2026年10月22日16時00分時点の情報です。STORESから新しいお知らせが出た場合は、公式ページの内容を優先してください。ネットショップ作成サービスの選び方はネットショップ作成サービス比較の記事でも紹介しています。
THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。
