PHP2Shell と EC-CUBE：あなたの EC-CUBE ショップは影響を受けますか？

自分の EC-CUBE ショップは PHP2Shell の影響を受けますか？

ショップで動いている PHP が系列ごとの修正版より古い場合、または PHP 8.1 以前で配布元の修正が入っていない場合は影響を受けます。PHP2Shell は PHP 本体の脆弱性（CVE-2026-109618 と CVE-2026-109619）なので、EC-CUBE のバージョンやプラグインに関係なく、修正前の PHP で動くショップはすべて対象です。

EC サイトは特に狙われやすい対象です。Sansec は、研究者が EC パッケージの Magento 2.4.9 で認証なしのリモートコード実行を確認したと報告し、ショップ自身のコードに問題がなくても影響を受けると警告しています。EC-CUBE 個別の検証結果は確認できていません。

EC-CUBE を更新すれば直りますか？

直りません。EC-CUBE 本体やプラグインを更新しても、サーバーの PHP は変わりません。PHP2Shell の修正は、PHP を修正版、または配布元の修正済みパッケージに更新することでしか得られません。

EC-CUBE 公式の PHP2Shell に関するお知らせは、2026年10月22日 時点で当サイトでは確認できていません。公式サイトは当サイトの自動取得を受け付けなかったため、お知らせと脆弱性情報を直接確認してください。

EC-CUBE が使っている PHP のバージョンはどう調べますか？

管理画面から確認できます。

1. EC-CUBE の管理画面にログインします。
2. 設定 → システム設定 → システム情報 を開きます。
3. PHP の欄のバージョンを控えます。これがショップを動かしている PHP です。

サーバー上の php -v はコマンドライン用の別の PHP を表示することがあります。控えたバージョンを PHP2Shell チェッカーに入力してください。ほかの方法は PHP バージョン確認方法へ。

どの PHP バージョンに上げればいいですか？

EC-CUBE が対応する系列の修正版を選びます。EC-CUBE 4 のシステム要件は次のとおりです。

EC-CUBE 4.2 以前は注意が必要です。 対応する PHP がすべて 8.1 以前で、PHP 公式の新しいリリースがありません。選択肢は次の二つです。

• 配布元の修正済みパッケージを使う（例：Ubuntu 22.04 の php8.1）。レンタルサーバーなら、7.4・8.1 に修正が入ったかを事業者に確認します。
• EC-CUBE 4.3 へ移行し、PHP を 8.2.35 か 8.3.36 にする。

EC-CUBE 2 系は、GitHub の ec-cube2 で PHP 7.4.33 以上が要件です。4.4 は開発中（アルファ版）で要件表にはまだありません。詳しくは PHP サポート終了版をご覧ください。

EC-CUBE の PHP は誰が更新しますか？

系列を変えるときは、必ずバックアップを取り、テスト環境で決済まで動作を確かめてください。

EC-CUBE ショップがすでに侵害されていないか、どう確認しますか？

PHP を更新しても、過去の侵入の有無は分かりません。次の点を確認してください。

• メンバー：「設定 → システム設定 → メンバー管理」に心当たりのない管理者。
• プラグイン：「オーナーズストア → プラグイン → プラグイン一覧」に入れた覚えのないもの。
• 画像置き場：html/upload 以下の .php ファイル。
• テンプレート：購入・決済画面まわりの、身に覚えのない JavaScript の追加。

不審な点があれば 侵害チェックリストに沿って対応し、カード情報の漏えいが疑われる場合は決済代行会社にも連絡してください。

WAF や PHP の設定変更で EC-CUBE は守れますか？

どちらも修正ではありません。Cloudflare は WAF が既知の攻撃パターンを防ぐ一方、攻撃者が手口を変えてすり抜けようとしていたと公表しています。PHP 公式はアプリのコードより前に到達できる攻撃経路を確認しています。暫定対策の限界は CVE-2026-109618 回避策、更新の進め方は PHP2Shell 対処法をご覧ください。