EC-CUBE公式Amazon Payプラグインに緊急度「高」の脆弱性、利用店舗向け無料相談を開始

悪用確認済み。対象バージョン、管理者アカウント、アクセス記録など6項目を整理

株式会社セルフプラス（本社：東京都練馬区、代表取締役：黒岩 俊児）は、EC-CUBE公式が2026年10月14日に公表したEC-CUBE 4系「Amazon Payプラグイン」の脆弱性を受け、EC事業者が確認すべき6項目を10月15日に公開しました。開発元は緊急度を「高」と評価し、悪用した攻撃がすでに確認されているとしています。当社は、導入プラグインのバージョン、管理者アカウント、更新担当、アクセス記録の確認に関する無料相談を受け付けます。あわせて、保守・更新の体制を見直す事業者には、EC-CUBEからShopifyへの移行方法を案内します。

EC-CUBE公式とJVNは、EC-CUBE 4系向けの公式「Amazon Payプラグイン」に脆弱性があると公表しました。注文手続き中に利用者が任意の外部サイトへ転送され、アカウント情報を取得されるおそれがあります。JVNは、開発者から本脆弱性を悪用した攻撃が確認されているとの情報があると記載しています。

EC-CUBE公式は緊急度を「高」と評価し、不正な管理者アカウントが登録され、管理画面へログインされるおそれにも触れています。

対象として公表されたプラグインは次のとおりです。

 ・Amazon Pay V2プラグイン（EC-CUBE 4.2／4.3系）：v4.3.1まで。バンドル版を含む

・Amazon Pay V2プラグイン（EC-CUBE 4.0／4.1系）：v1.1.12まで

・Amazon Payプラグイン（EC-CUBE 4.0系）：v1.3.0まで 

EC-CUBE公式は、最新版への更新で修正されると案内しています。CV1版のv1.2.9以前は最新版のv1.3.1へ直接更新できないため、CV2版への移行を推奨しています。クラウド版「ec-cube.co」は修正済みと公表されています。対象バージョンと修正版は更新される可能性があるため、作業前に必ずEC-CUBE公式とJVNの最新情報をご確認ください。

セルフプラスは、EC-CUBEでAmazon Payを利用する事業者向けに、次の確認項目を整理しました。

 ・管理画面のプラグイン一覧で、Amazon Payプラグインの利用有無とバージョンを確認する

・EC-CUBE公式とJVNで対象バージョンと修正版を確認し、公式の案内に従って更新する

・覚えのない管理者アカウントが登録されていないかを確認する

・更新前後の注文、決済画面からの転送、サーバーとEC-CUBEのアクセス記録を確認する

・管理画面のURL、接続元の制限、二段階認証など、管理画面の入口を確認する

・プラグインの更新情報を誰が、どの頻度で確認するかを決める 

制作会社や保守会社へ運用を委託している場合は、更新の実施有無だけでなく、対象バージョン、作業日時、点検した記録についても確認することを推奨します。

今回の脆弱性はEC-CUBE本体ではなく、決済プラグインで公表されたものです。脆弱性が見つかること自体は、どのソフトウェアやサービスでも起こりえます。EC-CUBEを自社のサーバーで運用する場合、EC-CUBE本体、プラグイン、サーバー、PHPやデータベースなどの更新は、自社または委託先が確認して実施します。

Shopifyでは、サーバーとプラットフォーム本体の更新・保守をShopifyが行います。一方、スタッフアカウントの管理、二段階認証、導入するアプリの選定、Shopify外へ書き出した顧客データの管理は店舗側に残ります。Shopifyへの移行は、すべての不正アクセスを防ぐものではありませんが、自社で更新・保守する範囲を見直す選択肢になります。

責任範囲の解説：
https://self-plus.co.jp/knowledge/migration/self-hosted-ec-security-shopify/

セルフプラスは、EC-CUBEを含む既存のECカートからShopifyへの移行を支援しています。

 ・現在のページ、商品、顧客、ブログ、プラグイン、外部連携の棚卸し

・Shopifyで置き換える機能、作り直す機能、終了する機能の整理

・現行デザインを踏襲したShopifyテーマの構築

・商品・顧客データの移行設計と実施

・旧URLから新URLへの301リダイレクト設計

・決済、配送、税、計測の設定

・公開後の維持管理と改善支援 

顧客のパスワードや継続課金中の定期購入など、そのまま移せないデータや契約があります。現在の構成を確認し、移行できるものと運用変更が必要なものを分けて案内します。

支援範囲と費用の確認：
https://self-plus.co.jp/pricing/shopify/

今回の脆弱性への対応について、次の内容を無料相談で受け付けます。

 ・利用中のAmazon Payプラグインが対象かを確認するための進め方

・管理者アカウントと更新担当の棚卸し

・アクセス記録を確認する際の観点

・現在の保守体制を続ける場合の確認事項

・EC-CUBEからShopifyへ移行する場合の対象データ、機能、費用の考え方 

個別サイトの更新作業、ログ調査、改修、移行作業は、対象と作業範囲を確認したうえで別途案内します。

確認項目をまとめた記事：
https://self-plus.co.jp/knowledge/ec-news/ec-cube-amazon-pay-plugin-vulnerability-2026-10/

EC-CUBE公式のお知らせ：
https://www.ec-cube.net/news/detail.php?news_id=490

JVN：
https://jvn.jp/jp/JVN43511918/

Shopify構築・乗り換え：
https://self-plus.co.jp/services/shopify-build/

Shopify構築料金：
https://self-plus.co.jp/pricing/shopify/

無料相談：
https://self-plus.co.jp/contact/?type=consult

会社名：株式会社セルフプラス（Self Plus Inc.）
代表者：代表取締役 黒岩 俊児
所在地：〒179-0074 東京都練馬区春日町6-8-5
設立：2015年9月11日
事業内容：ECサイト制作・AI時代のEC支援（Shopify構築・運用、AI検索対策など）
認定・受賞：Shopify Plus Partner／App Unity／アイミツアワード ホームページ制作部門 受賞
URL：https://self-plus.co.jp/

株式会社セルフプラス 広報担当
メール：info@self-plus.co.jp
お問い合わせフォーム：
https://self-plus.co.jp/contact/?type=press