ブログ
前の記事で、2026年10月21日に公表されたPHPの重大な脆弱性をまとめました。
この記事は、ネットショップ(ECサイト)を運営している方に向けたものです。
ショップの作り方によって、自分でやることは大きく変わります。
まず、自分のショップがどちらの作り方かを確かめるところから始めてください。
ネットショップのサービスも、予防のために止まった
10月21日には、ネットショップを作れるサービスの BASE が、PHPの脆弱性への対応として緊急メンテナンスを行いました。
当初の予定を前倒しして15時50分から止め、ショップのページ・管理画面・注文の機能などが、翌22日の朝まで使えなくなりました。
BASE は予防のための措置だと説明し、今回の件による不正アクセスや情報の漏えいは確認されていないとしています。
ショップが止まっていたあいだは、注文を受けられません。
「止める」ことにも費用がかかる、ということが分かる出来事でした。
作り方は大きく2つ
1. ネットショップのサービスを借りている
BASE のように、ショップの仕組みをまるごと借りている形です。
この場合、PHPなどの裏側の仕組みを更新するのは、サービスの会社です。お店の側でPHPの版を上げる作業はありません。
お店の側でやることは、次の2つです。
- サービスの会社のお知らせを見て、止まる時間帯を確かめ、お客様に知らせる
- 管理画面のパスワードを使い回していないか確かめ、二段階の認証(ログインのたびに確認のコードを入れる仕組み)があれば使う
2. 自社でサーバーを借りて、ショップの仕組みを入れている
EC-CUBE や、WordPress に WooCommerce などを入れて作ったショップです。
この場合は、PHPの更新を、お店の側(か、頼んでいる制作会社・保守会社)がする必要があります。
注意したいのは、EC-CUBE や WordPress、プラグインを最新にしても、今回の脆弱性は直らないことです。
直すのは、サーバーで動いているPHPそのものです。EC-CUBE の開発元も、PHPの開発元とサーバーの会社の情報を確かめて、至急対応するよう案内しています。
PHPの版の確かめ方
- WordPress なら、管理画面の「ツール」→「サイトヘルス」→「情報」の「サーバー」の欄に出ています
- レンタルサーバーなら、管理画面のPHPの版を選ぶ設定に、今の版が出ています(ドメインごとに違うことがあります)
- 自社で入れないなら、制作会社・保守会社に「PHPの版はいくつか」「今回の対応は済んだか」「済んでいないなら、いつ誰がするか」を聞きます
直った版は 8.5.12・8.4.27・8.3.36・8.2.35 です。
PHP 8.1 以前(7系を含む)は、開発元からのふつうの更新版が出ないので、サポートの続いている版へ移る必要があります。
新しい版に移ると、ショップが動かなくなることがある
古い EC-CUBE や、古いプラグインは、新しいPHPの版では動かないことがあります。
いきなり本番のショップで版を上げるのではなく、次の順に進めるのが安全です。
- ショップのファイルとデータの、バックアップを取る
- 試しの環境で、新しい版でも注文・決済・メールが動くかを確かめる
- 注文の少ない時間帯を選び、お客様に知らせてから、本番の版を上げる
移るまでに時間がかかるなら、開発元が案内する設定で被害を小さくする、管理画面を見られる人を絞る、といった手を考えます。
ただし、どちらも更新の代わりにはなりません。IPAも、更新が終わるまでのあいだ、一時的に止める必要があるかを判断するよう呼びかけています。
私たちがお手伝いできること
私たちWy-at.Technologiesは、名古屋を拠点に、中小企業のITと技術のご相談を受けています。
「自分のショップがどちらの作り方か分からない」「古い EC-CUBE で動いている」といったときは、お問い合わせからご相談ください。
出典(10月27日時点で確認)
