自社のECサイトがEC-CUBEで動いていることは知っていても、どの決済プラグインの何版が入っているかまで把握している経営者は多くありません。今回の脆弱性は、その把握していない部分で起きています。悪用はすでに確認されており、決済の場面で利用者を別のサイトへ誘導されるおそれがあります。
何が起きたか
EC-CUBEの開発元は10月14日、EC-CUBE 4系向けの公式Amazon Payプラグインに、変わらないはずのWebパラメータを外部から操作できる脆弱性（CVE-2026-103671、JVN#43511918）があると公表し、緊急度を「高」と評価したうえで、すでに悪用した攻撃が確認されていると発表しました。注文手続きの途中で利用者を任意のサイトへ遷移させられるため、偽の画面でアカウント情報などを入力させて盗まれるおそれがあります。最新版の1.3.1で修正されていますが、旧世代のCV1版（1.2.9以前）は1.3.1へ更新できないため、CV2版への移行が強く推奨されています（Security NEXT、JVN、EC-CUBE公式）。
なぜ自社に関係があるのか
- *被害を受けるのは自社の顧客です。**決済の途中で別のサイトへ飛ばされ、偽のログイン画面にアカウント情報やカード情報を入力してしまう。被害が出れば、顧客への補償や説明に加えて、個人情報の漏えい報告の対象になりえます。CVSSの数値（v4で5.3）は高くありませんが、決済の場面で起き、すでに悪用されている点を重く見るべきです。数字を自社の優先順位に翻訳するとは、こういう判断のことです。
- *更新できない版があります。**CV1版を使っているサイトは、プラグインの更新では済まず、CV2版への移行が必要です。移行には制作会社や保守会社との調整、決済の動作確認、切り替えの日程が要ります。時間がかかる作業なので、着手は早いほうがよい。
- *プラグインは本体より更新が遅れます。**ECサイトの運営では、本体の更新は意識されても、決済・配送・メール配信などのプラグインは入れたまま忘れられがちです。EC-CUBEでは過去にも、更新されていないサイトでカード情報の流出が相次ぎ、IPAが注意喚起を出した経緯があります。WAFの記事で書いたとおり、WAFは修正版を当てる作業の代わりにはなりません。
明日やること
- 自社のECサイトについて、EC-CUBEの系統（4.0〜4.3）とAmazon Payプラグインの世代（CV1かCV2か）・版数を、制作会社や保守会社に今日確認する。該当すれば1.3.1へ更新し、CV1版ならCV2版への移行計画を今週中に決める
- 公表日より前の期間について、注文手続き中の不審な遷移の記録や、顧客からの「決済画面がおかしかった」という問い合わせがないかを確認する。疑いがあればインシデント発生時の初動対応へ
- ECサイトに入っているプラグインの一覧（決済・配送・メール配信など）を作り、更新の責任者と確認の頻度を決める。公開しているサイトの棚卸しの一部として扱う
もっと知るには
深刻度の数字と実際の優先順位の関係はCVEとCVSSとはで解説しています。Webサイトを守る仕組みとその限界はWAFとは、顧客情報が漏えいした場合の義務は個人情報の漏えい報告義務をご覧ください。
