EC-CUBEのAmazon Payプラグイン脆弱性受けセルフプラスが確認項目を公開

CATEGORY: テクノロジー

東京都練馬区に本社を置く株式会社セルフプラスは、EC-CUBE公式が2026年10月14日に公表したEC-CUBE 4系向け「Amazon Payプラグイン」の脆弱性を受け、EC事業者が確認すべき6項目を10月15日に公開しました。開発元が緊急度を「高」と評価し、悪用した攻撃がすでに確認されている状況を踏まえた対応です。同社はバージョン確認やアクセス記録の確認に関する無料相談を受け付けるほか、EC-CUBEからShopifyへの移行支援も案内しています。

公式発表された脆弱性の内容と対象プラグイン

EC-CUBE公式とJVNの発表によると、EC-CUBE 4系向けの公式「Amazon Payプラグイン」において、注文手続き中に利用者が任意の外部サイトへ転送され、アカウント情報を取得されるおそれがある脆弱性が公表されました。JVNには、開発者から本脆弱性を悪用した攻撃が確認されているとの情報が記載されています。

EC-CUBE公式は緊急度を「高」と評価しており、不正な管理者アカウントが登録されて管理画面へログインされるおそれについても言及しています。

対象として公表されたプラグインは以下の通りです。

• Amazon Pay V2プラグイン（EC-CUBE 4.2／4.3系）：v4.3.1まで。バンドル版を含む
• Amazon Pay V2プラグイン（EC-CUBE 4.0／4.1系）：v1.1.12まで
• Amazon Payプラグイン（EC-CUBE 4.0系）：v1.3.0まで

EC-CUBE公式は最新版への更新で修正されると案内しています。CV1版のv1.2.9以前は最新版のv1.3.1へ直接更新できないため、CV2版への移行を推奨しています。なお、クラウド版「ec-cube.co」は修正済みと公表されています。対象バージョンと修正版は更新される可能性があるため、作業前にはEC-CUBE公式とJVNの最新情報を確認する必要があります。

EC事業者が確認すべき6項目

株式会社セルフプラスは、EC-CUBEでAmazon Payを利用する事業者向けに、確認すべき項目として以下の6点を整理しました。

• 管理画面のプラグイン一覧で、Amazon Payプラグインの利用有無とバージョンを確認する
• EC-CUBE公式とJVNで対象バージョンと修正版を確認し、公式の案内に従って更新する
• 覚えのない管理者アカウントが登録されていないかを確認する
• 更新前後の注文、決済画面からの転送、サーバーとEC-CUBEのアクセス記録を確認する
• 管理画面のURL、接続元の制限、二段階認証など、管理画面の入口を確認する
• プラグインの更新情報を誰が、どの頻度で確認するかを決める

制作会社や保守会社へ運用を委託している事業者に対しては、更新の実施有無だけでなく、対象バージョン、作業日時、点検した記録についても確認することを推奨しています。

保守責任範囲の違いとShopifyへの移行支援

今回の脆弱性はEC-CUBE本体ではなく決済プラグインで公表されたものです。EC-CUBEを自社サーバーで運用する場合、本体やプラグイン、サーバー、PHP、データベースなどの更新は自社または委託先が確認して実施する必要があります。

これに対しShopifyでは、サーバーとプラットフォーム本体の更新・保守をShopifyが担当します。一方でスタッフアカウントの管理や二段階認証、導入アプリの選定、外部へ書き出した顧客データの管理は店舗側に残るため、すべての不正アクセスを防ぐものではないものの、自社で保守する範囲を見直す選択肢になると説明されています。

株式会社セルフプラスでは、既存のECカートからShopifyへの移行支援を行っており、現行データの棚卸しやテーマ構築、301リダイレクト設計などを提供しています。顧客のパスワードや定期購入などそのまま移せないデータについては、構成を確認したうえで案内するとしています。

あわせて同社では、プラグインの対象確認やアカウントの棚卸し、Shopify移行時の費用感などを確認できる無料相談の窓口を設けています。個別サイトの更新作業やログ調査、改修、移行作業は、作業範囲を確認したうえで別途案内されます。

関連情報と会社概要

株式会社セルフプラスの会社概要および各種URLは以下の通りです。

• 会社名：株式会社セルフプラス（Self Plus Inc.）
• 代表者：代表取締役 黒岩 俊児
• 所在地：〒179-0074 東京都練馬区春日町6-8-5
• 設立：2015年9月11日
• 事業内容：ECサイト制作・AI時代のEC支援（Shopify構築・運用、AI検索対策など）
• 認定・受賞：Shopify Plus Partner／App Unity／アイミツアワード ホームページ制作部門 受賞

関連URL：

• 確認項目をまとめた記事：https://self-plus.co.jp/knowledge/ec-news/ec-cube-amazon-pay-plugin-vulnerability-2026-10/
• EC-CUBE公式のお知らせ：https://www.ec-cube.net/news/detail.php?news_id=490
• JVN：https://jvn.jp/jp/JVN43511918/
• Shopify構築・乗り換え：https://self-plus.co.jp/services/shopify-build/
• Shopify構築料金：https://self-plus.co.jp/pricing/shopify/
• 責任範囲の解説：https://self-plus.co.jp/knowledge/migration/self-hosted-ec-security-shopify/
• 無料相談：https://self-plus.co.jp/contact/?type=consult
• 公式サイト：https://self-plus.co.jp/

本件に関する問い合わせは、株式会社セルフプラス 広報担当（メール：info@self-plus.co.jp / お問い合わせフォーム：https://self-plus.co.jp/contact/?type=press）で受け付けています。

本記事は株式会社セルフプラスの発表をもとに作成されています。

Dellows News編集部

ビジネスパーソンの課題解決と納得感にこだわるDellows News編集部。キャリア論からAI、健康法まで幅広い分野に対応し、複雑なテーマでも平易な言葉で丁寧に解説。読者が「明日から使える」知識やヒントを得られるよう、具体的な事例・データ・専門家の見解を交えて執筆。情報を整理し、納得感ある記事づくりを心がけています。