EC-CUBE利用サイトは要確認｜PHPの重大な脆弱性（CVE-2026-109618 / CVE-2026-109619）への対応について

2026年10月21日、PHPにおいて重大な脆弱性「CVE-2026-109618」「CVE-2026-109619」が公表され、修正版が公開されました。

これらの脆弱性が悪用された場合、認証を必要とせず、外部からの通信によってPHPが動作するサーバー上で任意のコードを実行される可能性があります。

EC-CUBEはPHPで動作するECシステムです。

そのため、EC-CUBEをご利用中の場合、現在使用しているPHPのバージョンやサーバー構成によっては影響を受ける可能性があります。

今回公開されたPHPの修正版

今回の脆弱性を修正したPHPとして、以下のバージョンが公開されています。

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

該当するPHP 8.2～8.5系をご利用の場合は、修正版への更新を検討する必要があります。

また、PHP 8.1以前はすでに公式サポートが終了しているため、基本的にはサポートされているPHPへの移行を検討する必要があります。

EC-CUBEでは「PHPだけ更新する」ことが難しい場合があります

EC-CUBEをご利用の場合に特に注意したいのが、PHPとEC-CUBEの対応バージョンです。

EC-CUBEは、バージョンごとに動作可能なPHPのバージョンが異なります。

そのため、

「PHPに脆弱性があるので、PHPだけ最新版に変更する」

という対応ができない場合があります。

古いEC-CUBEの環境でPHPだけを新しくすると、

• EC-CUBE自体が起動しない
• 管理画面が正常に動作しない
• 商品購入時にエラーが発生する
• プラグインが動作しなくなる
• 独自カスタマイズ部分でエラーが発生する

といった問題が起こる可能性があります。

この場合、PHPの更新と合わせてEC-CUBE自体のバージョンアップが必要になります。

古いEC-CUBEを長期間利用している場合は注意が必要です

古いEC-CUBEを利用し続けている場合、今回のPHPの脆弱性だけではなく、複数の問題を抱えている可能性があります。

例えば、

• EC-CUBE本体のサポートが終了している
• PHPのサポートが終了している
• サーバーOSや関連ソフトウェアが古くなっている
• セキュリティアップデートを受けられない
• 古いプラグインを使用している
• 独自カスタマイズ部分に脆弱性が残っている

といったケースです。

サイトが現在正常に表示されていても、セキュリティ面で問題がないとは限りません。

特に数年間EC-CUBEやサーバー環境を変更していない場合は、一度環境を確認することをおすすめします。

すでに攻撃を受けていないかの確認も重要です

今回の脆弱性については、脆弱性が公表される前の2026年10月17日から、悪用を試みたとみられる通信が観測されています。

そのため、

「PHPを修正版へ変更したので対応完了」

と考えるだけでは十分でない場合があります。

すでに攻撃を受けていた場合、サーバー上に不正なファイルやバックドアなどが設置されている可能性があるためです。

確認項目としては、

• 見覚えのないPHPファイルが作成されていないか
• EC-CUBE本体やカスタマイズファイルが改ざんされていないか
• 不審なアクセスログがないか
• 不審なプロセスや外部通信がないか
• 不審な管理者アカウントが作成されていないか

などがあります。

JPCERT/CCも今回の脆弱性について、修正版への更新だけではなく、侵害有無の調査を実施するよう案内しています。

まず確認したいポイント

EC-CUBEをご利用中の場合、まず次の項目をご確認ください。

PHPのバージョン

現在利用しているPHPのバージョンを確認します。

PHP 8.2～8.5を利用している場合は、今回公開された修正版以降になっているかを確認します。

PHP 8.1以前の場合は、PHPだけではなくEC-CUBEを含めた環境全体の更新を検討する必要があります。

EC-CUBEのバージョン

EC-CUBEのバージョンによって利用可能なPHPが異なります。

PHPを新しくする場合は、現在利用しているEC-CUBEがそのPHPに対応しているか確認が必要です。

プラグイン・カスタマイズ

EC-CUBE本体を新しくできても、現在利用しているプラグインや独自カスタマイズがそのまま利用できるとは限りません。

バージョンアップを行う場合は、事前調査が重要になります。

弊社ではEC-CUBE環境の確認・調査に対応しています

弊社では、これまで300件以上のEC-CUBE関連案件に対応してきた経験をもとに、現在の環境確認からバージョンアップまでご相談を承っています。

対応可能な内容としては、

• EC-CUBEのバージョン確認
• PHPのバージョン確認
• 今回の脆弱性の影響確認
• PHPを更新可能かどうかの確認
• 不正アクセスの痕跡調査
• ファイル改ざんの確認
• 不審なファイルの確認
• アクセスログ等の調査
• EC-CUBEのバージョンアップ
• サーバー・PHP環境を含めた移行

などがあります。

「自社のEC-CUBEが今回の問題に該当するのか分からない」という段階でもご相談いただけます。

EC-CUBEのバージョンアップという選択肢

古いPHPから更新できない場合は、EC-CUBE自体を新しいバージョンへ移行する方法があります。

弊社では、

• EC-CUBE 3系から4系への移行
• 古いEC-CUBE 4系から現行バージョンへの移行
• 商品・会員・受注データの移行
• デザインの移植
• プラグインの移行・代替
• 独自カスタマイズの移植
• PHP・サーバー環境の変更

などにも対応しています。

サイトごとに利用しているプラグインやカスタマイズ内容が異なるため、まず現状を確認した上で概算費用をご案内することも可能です。

Shopifyへの移行も選択肢の一つです

今後の保守やサーバー管理の負担を軽減したい場合には、EC-CUBEからShopifyなどのクラウド型ECサービスへ移行する方法もあります。

一方で、独自機能や外部システムとの連携が多いECサイトでは、EC-CUBEを継続した方が適している場合もあります。

弊社ではEC-CUBEのバージョンアップだけでなく、Shopifyへの移行も含め、現在の運用方法やご予算に合わせてご提案可能です。

このような場合はご相談ください

• EC-CUBEのバージョンが分からない
• PHPのバージョンが分からない
• 今回の脆弱性の影響を受けるか確認したい
• PHPを更新するとEC-CUBEが動かなくならないか心配
• 不正アクセスを受けていないか確認したい
• サイトが改ざんされていないか調査してほしい
• EC-CUBEを最新版にした場合の費用を知りたい
• Shopifyへの移行も比較したい

現在の環境を確認した上で、

「PHPの更新だけで対応可能なのか」

「EC-CUBEのバージョンアップまで必要なのか」

「不正アクセスや改ざんの調査が必要なのか」

といった点からご案内いたします。

EC-CUBEのバージョンが分からない場合でも、お気軽にお問い合わせください。