EC-CUBEの公式AmazonPayプラグインに緊急の脆弱性、悪用も確認

EC-CUBEの開発元であるイーシーキューブは2026年10月14日、EC-CUBE 4系向けの公式「AmazonPayプラグイン」に、緊急度「高」の脆弱性（CVE-2026-103671）が見つかったと公表しました。リダイレクト処理の不備で、注文手続きの途中で、任意のサイトへ利用者を転送できる可能性があります。JVNは、開発者の情報として、この脆弱性を悪用した攻撃がすでに確認されていると伝えています。EC-CUBEでネットショップを運営している事業者や、構築・保守を担うWeb制作会社は、使っているプラグインのバージョンを確認し、最新版へ更新する必要があります。

リダイレクト処理の不備で、管理者アカウントの登録まで

JVNの説明によると、問題は、「不変と想定しているWebパラメータの外部制御」（CWE-472）です。注文手続き中に、任意のウェブサイトへリダイレクトされ、アカウント情報などが盗まれる可能性があります。CVSSの基本値は、v4.0で5.3、v3.0で4.7と中程度ですが、JVNはこの件を「緊急」として扱っています。EC-CUBEの公式のお知らせは、危険度を「高」としていて、その理由を、不正な管理者アカウントを登録でき、管理画面にログインできるため、と説明しています。JVNの影響の説明は、リダイレクトによる情報窃取で、開発元が挙げる不正な管理者アカウントの登録には触れていません。CVSSは前者だけを評価している可能性があり、スコアの数字だけで緊急度を判断しないほうがよいでしょう。

開発元は、JPCERT/CCに報告し、JPCERT/CCが開発元と公表に向けた調整を行いました。JVNの公開日は10月14日で、JVN iPedia（JVNDB-2026-000150）にも登録されています。

影響を受けるバージョン

JVNとEC-CUBEの公式のお知らせが挙げている、影響を受けるバージョンは次のとおりです。

各系統とも、修正版より前のほぼすべての版が対象です。クラウド版のEC-CUBE（ec-cube.co）は、すでに修正済みだと、開発元は説明しています。

修正と対処：最新版へ。ただしCV1の古い版は更新できない

EC-CUBEのお知らせによると、公式プラグインの脆弱性は、最新版へのアップデートで修正されます。CV1版の最新版はv1.3.1ですが、v1.2.9以前を使っている場合は、v1.3.1にバージョンアップできません。CV2版の修正版の番号は、お知らせ本文には書かれていません（詳細ページで確認が必要です）。そのため、開発元は、CV2版への移行を強く推奨しています。JVNのページには、具体的な修正版の番号や回避策の記載はなく、開発者の情報に従ってパッチを適用するよう案内されています。EC-CUBEのお知らせからは、修正についての詳細ページが案内されていますが、今回、そのページは自動取得では確認できませんでした。実際に作業するときは、開発元の公式ページで、最新の手順を確認してください。

制作会社・運用担当が確認したい4点

ここからは、筆者の整理です。公式の手順ではありません。

この脆弱性の公開から、まだ日が浅く、攻撃も確認されています。対象のサイトを多く持つ制作会社ほど、更新の優先順位を決めておく必要があります。

決済プラグインは、保守契約で更新の担当を決める

今回の件で注意したいのは、CVSSの数字と開発元の危険度の評価が大きく離れている点です。リダイレクトの不備と聞くと影響は限られて見えますが、開発元は、不正な管理者アカウントの登録と管理画面へのログインまで起こりうると説明しており、悪用もすでに確認されています。決済プラグインは注文の流れの中心にあるため、本体の更新とは別に、プラグインのバージョンを定期的に棚卸しする仕組みがないと、こうした告知に気づくのが遅れがちです。とくにCV1版の古い版を使っているサイトは、単純な更新では済まず、CV2版への移行に検証期間が必要なので、保守契約の中で誰がいつ判断するかを、先に決めておくことが、被害を広げないための現実的な備えになります。EC-CUBEのお知らせは、本文で、既知の脆弱性への対応が大切だと注意したうえで、セキュリティ対策の特集ページ（ec-cube.net/info/security/）を案内しています。同じ時期に、国産WAF「SiteGuard Server Edition」の緊急の脆弱性も公表されており、Web制作・運用の保守では、確認する対象が増えています。

出典

2026年10月19日時点の情報です。

ほかのニュース

ニュースの一覧へ