PHP2Shell（CVE-2026-109618／109619）緊急対応
PHP2Shell対策、
パッチの確認から
侵入チェックまで48時間。
PHP の重大な脆弱性 PHP2Shell は、ログイン不要でサーバーを乗っ取られるおそれがあり、すでに攻撃が確認されています。サーバー会社が修正済みでも、修正が本当に入っているか・修正前に攻撃されていないか・EC-CUBE 自体に別の穴がないかはショップ側での確認が必要です。未修正なら、EC-CUBE はそのままでパッチを適用します。
緊急対応パック ¥143,000（税込） 税抜 ¥130,000・カード決済・インボイス対応の領収書PDF
- 受付は1日3社まで（先着順）
- EC-CUBE 2.x〜4.3、PHP 5.6〜8.5 に対応。EC-CUBE のバージョンアップは不要
- EC-CUBE の構築・プラグイン開発に10年以上携わってきたチームが対応
- カスタマイズしたサイトのバージョンアップはかんたん無料チェックから（デザイン・機能そのまま、最短2週間）
PHP2SHELL
PHP2Shell と EC-CUBE：どのバージョンでもパッチで対応できます
ログイン不要で乗っ取られる
2026年10月21日に公表された PHP 本体の脆弱性（深刻度 CVSS 9.2）。攻撃コードが出回り、悪用も確認されています。直すのは EC-CUBE ではなく PHP です。
古い PHP にも修正版がある
公式の修正版は 8.2.35／8.3.36／8.4.27／8.5.12。5.6〜8.1 にも、OS ベンダーや PHP のメンテナー（Ubuntu・Red Hat 系・Remi・Sury など）から同じ系列の修正済みビルドが出ています。
EC-CUBE はそのままでOK
PHP の系列（7.4 なら 7.4 のまま）を変えずに修正済みビルドへ入れ替えるので、EC-CUBE 本体やプラグインはそのまま動きます。サイトを止める時間も最小限です。
| EC-CUBE | 動作する PHP | 修正済みの PHP | 未修正だった場合 |
|---|---|---|---|
| 2系・3.0系 | 5.6〜7.x | あり（同じ系列の修正済みビルド） | PHP にパッチ適用。EC-CUBE はそのまま |
| 4.0／4.1系 | 7.1〜8.0 | あり（同じ系列の修正済みビルド） | PHP にパッチ適用。EC-CUBE はそのまま |
| 4.2系 | 7.4〜8.1 | あり（同じ系列の修正済みビルド） | PHP にパッチ適用。EC-CUBE はそのまま |
| 4.3系 | 8.1〜8.3 | あり（公式 8.2.35／8.3.36） | PHP を修正版に更新。EC-CUBE はそのまま |
サーバー会社が「対応済み」でも、確認したい3つのこと
- 修正が、今の PHP に本当に入っているか古い PHP の修正済みビルドはバージョン番号が変わらず、管理画面では判別できません。サーバー会社によっては新しい PHP から順に対応しています。
- 修正前に、攻撃されていないか攻撃は修正版の公開前から確認されています。修正しても、仕掛けられた不正なファイル（Web シェル）や決済画面の改ざん、不審な管理者アカウントは残ります。
- EC-CUBE 自体に、別の穴がないかサポートが終わったバージョンの既知の脆弱性、悪用が確認されている Amazon Pay プラグイン、install.php の残存、初期値のままの管理画面 URL など。PHP の修正とは別の問題です。
プラグイン「CubeCheckup」を入れて診断を依頼すると、お使いの PHP の状況をその場で判定して管理画面に表示します。
WHY NOW
「動いているから大丈夫」が、いちばん危ない
古いEC-CUBEは修正が届かない
サポートが終了したバージョンには脆弱性の修正が提供されません。カード情報漏えいは決済停止・損害賠償・信用失墜に直結します。
PHP・DBのサポート終了
EC-CUBE本体だけでなく、PHP 7系・古いMySQLもすでにセキュリティ更新が止まっています。サーバー側の更新で突然動かなくなるケースも。
バージョンアップは「見積りが出ない」
プラグインの4.3対応状況、カスタマイズの量、データ移行… 制作会社に相談しても、状態が分からないと金額が出ません。まず現状を可視化します。
HOW IT WORKS
依頼は3分、サーバー作業はゼロ
- 1
プラグインを入れる
EC-CUBEオーナーズストアから無料でインストール・有効化。左メニューに「セキュリティ診断」が追加されます。
- 2
連絡先を入れて「診断を依頼」
プラグインが本体・PHP・DB・プラグイン一覧・規模を自動収集。内容は送信前に画面で確認できます。
- 3
専門家が診断・見積り
EC-CUBEのプラグインを2〜4系で開発してきたチームが、リスクと最適な選択肢（バージョンアップ／移行）を整理します。
- 4
管理画面に結果が届く
診断結果・見積り・スケジュールが管理画面のスレッドに届き、メールでも通知。質問の返信もそのままやり取りできます。
WHAT YOU GET
診断レポートに含まれるもの
バージョン・サポート状況
EC-CUBE本体、PHP、データベースそれぞれのバージョンとサポート終了状況、既知の脆弱性の有無。
プラグイン互換性
インストール済みプラグインごとに、移行先バージョンでの対応状況（対応済み／更新要／代替要／不要）を一覧化。
リスクの優先順位
「今すぐ対応」「計画的に対応」「様子見」の3段階で、何から手を付けるべきかを明示。
バージョンアップ見積り
データ移行、テンプレート調整、プラグイン代替、テスト・切替までを含む費用と作業期間の見積り。
代替案の比較
規模と運用体制によっては、EC-CUBE継続よりASP（makeshop等）への移行が合理的なことも。中立に比較します。
専用ページで共有
結果・見積り・スケジュールはログイン不要の専用ページでも確認でき、社内や制作会社と共有できます。
PRIVACY & SAFETY
送信するのは「状態」だけ。
ショップの秘密は預かりません。
プラグインは診断に必要な最小限の情報だけを送信します。送信内容は依頼前に画面で確認でき、サーバーやデータベースにこちらから接続することはありません。
- 送信するもの：EC-CUBE本体のバージョン、PHP／DBの種類とバージョン、プラグイン一覧とバージョン、商品・受注・会員の件数
- 送信しないもの：パスワード・APIキー・サーバーパス・管理画面URL・顧客データ・受注データ
- 診断者：株式会社スパイシーファン。EC-CUBE のサイト構築・プラグイン開発に10年以上携わってきたチーム
- やり取り：管理画面内のスレッドと、トークン付きの専用ページのみ。第三者への情報提供はありません
// 送信されるシステム情報（例）
{
"platform": "eccube4",
"eccube_version": "4.0.6-p5",
"php_version": "7.4.33",
"db": { "driver": "mysql", "version": "5.7.44" },
"plugins": [
{ "code": "ProductReview4", "version": "1.0.3" },
{ "code": "MailMagazine4", "version": "1.0.5" },
{ "code": "Coupon4", "version": "1.0.1",
"enabled": false }
],
"counts": {
"products": 1240, "orders": 18300,
"customers": 6100
}
}
PRICING
急ぎは緊急対応、まずは無料診断
PHP2Shell 緊急対応パック
¥143,000 税込
税抜 ¥130,000
48時間以内に完了
受付は1日3社まで
- メール・Chatwork でやり取り
（打ち合わせ不要） - 修正の適用確認
（未修正ならパッチ適用・EC-CUBE はそのまま） - 侵入痕跡の確認
（Web シェル・改ざん・不審な管理者） - EC-CUBE 本体のチェック
（既知の脆弱性・プラグイン・設定） - 報告書
（実施内容・残るリスク・優先順位）
対応するのは EC-CUBE 構築・プラグイン開発10年以上のチームです。カード決済（Stripe）。インボイス対応の領収書PDFを発行します。48時間はアクセス情報の受領からの目安です。
セキュリティ診断・バージョンアップ見積り
¥0 先着20社
通常 ¥110,000（税込） 無料枠終了後はプラグイン画面に価格が表示されます
- 本体・PHP・DB・プラグインの診断レポート
- リスクの優先順位づけ
- バージョンアップ／移行の費用・期間見積り
- 代替案（ASP移行など）の比較
- 管理画面内でのQ&A、専用共有ページ
見積りに納得いただいた場合のみ、Stripeの決済ページからお支払い（領収書PDF発行）。契約義務はありません。
バージョンアップ・移行の実施
個別見積り
診断結果に基づき、規模と要件に合わせてご提示
- EC-CUBE 4.2／4.3 へのバージョンアップ
- データ移行・テンプレート調整・プラグイン代替
- テスト環境での検証と本番切替
- ASP（makeshop等）への移行支援
- 作業中の進捗も管理画面のスレッドでご報告
ORDER
PHP2Shell 緊急対応パックのお申し込み
- 1
申込・カード決済
このフォームから。Stripe の決済ページに進みます。
- 2
メールでご連絡
必要な情報をメール・Chatwork でご案内します。
- 3
アクセス情報を専用ページで
ログイン情報はメールではなく専用ページから。
- 4
48時間以内に対応
修正確認・必要ならパッチ・侵入チェック・EC-CUBE 点検。
- 5
報告書
実施内容・残るリスク・優先順位をお届け。
作業するのは、EC-CUBE のサイト構築とプラグイン開発に10年以上携わってきたチームです。
古い 2系・3系の構築・改修にも対応してきました。
受付は1日3社まで（先着順）です。
DOWNLOAD
お使いのEC-CUBEバージョンを選んでください
EC-CUBEオーナーズストアから無料でダウンロードできます。インストール後、左メニュー「セキュリティ診断」から依頼できます。
CubeCheckup for EC-CUBE 3
3.0.9 〜 3.0.18 / PHP 5.6 〜 7.4
オーナーズストアで見る → 公開準備中 EC-CUBE 4.0 / 4.1系CubeCheckup for EC-CUBE 4
4.0.x / 4.1.x / PHP 7.1 〜 8.1
オーナーズストアで見る → 公開準備中 EC-CUBE 4.2 / 4.3系CubeCheckup for EC-CUBE 4.2/4.3
4.2.x / 4.3.x / PHP 7.4 〜 8.3
オーナーズストアで見る → 公開準備中どれを入れればいいかわからない方は：かんたん無料チェック →
EC-CUBE 2系をご利用の方、プラグインを入れられない環境の方もかんたん無料チェックからご相談ください。
COLUMN
お役立ちコラム
カスタマイズしたEC-CUBEのバージョンアップ：作り直さずに最新版へ移す方法と進め方
「カスタマイズが多いからバージョンアップできない」「作り直しになると言われた」EC-CUBE 2系・3系・4.0〜4.2のショップ向けに、独自機能・デザイン・データを引き継いだまま最新版へ移す方法、期間、事前に整理しておくことをまとめます。
EC-CUBE の脆弱性まとめ（2026年）：本体・Amazon Pay プラグイン・PHP2Shell
2026年に EC-CUBE で確認したい脆弱性を一覧に。管理画面の二段階認証を回避される CVE-2026-30777（4.1.0〜4.3.1）、悪用が確認された公式 Amazon Pay プラグイン、EC-CUBE を動かす PHP の PHP2Shell、過去に悪用された CVE-2021-20717 まで、対象バージョンと対策をまとめます。
PHP2Shell（CVE-2026-109618／109619）とEC-CUBE：古いPHPでもバージョンアップなしでパッチ適用できる
2026年10月に公表されたPHPの重大な脆弱性PHP2Shell。公式の修正版は8.2以降ですが、EC-CUBE 2〜4系が動く古いPHP（5.6〜8.1）にも修正済みビルドが出ています。EC-CUBEはそのままで対応する方法を、環境別に整理します。
EC-CUBEとPHPのサポート終了まとめ【2026年版】あなたのバージョンはまだ安全か
EC-CUBE 2系・3.0・4.0〜4.3と、PHP 7.4〜8.4のサポート終了日を一覧で整理。2026年3月のセキュリティパッチがどのバージョンに提供されたか、放置するとどうなるかを解説します。
EC-CUBE 4.3へのバージョンアップ費用の目安と、「見積りが出ない」5つの理由
EC-CUBE 3.0／4.0／4.1／4.2から4.3へのバージョンアップ費用を左右する要素、制作会社が見積りを出せない理由、費用を抑える進め方を整理しました。
EC-CUBE 4.4（AI対応）を待つべき？ いま4.0〜4.2を使っているショップの判断基準
2026年に発表されたEC-CUBE 4.4はAIエージェント対応の次期版。古いバージョンのショップが「4.4まで待つ」のは正解か、4.3に上げるべきかを整理します。
FAQ
よくある質問
PHP2Shell の対応に、EC-CUBE のバージョンアップは必要ですか？
通常は不要です。PHP2Shell は EC-CUBE ではなくサーバー上の PHP 自体の脆弱性なので、PHP を修正済みのものにすれば対応できます。公式の修正版は 8.2 以降ですが、EC-CUBE 2〜4系が動いている古い PHP（5.6〜8.1）にも、OS ベンダーや PHP のメンテナーから同じ系列の修正済みビルドが出ています。PHP の系列を変えずに入れ替えるため、EC-CUBE 本体やプラグインはそのまま動きます。
レンタルサーバーが PHP を更新したら、サイトが動かなくなりました
EC-CUBE のバージョンが新しい PHP に対応していないことが原因の場合がほとんどです。緊急対応パックでは、元の PHP の系列に戻したうえで修正済みのものを使えるかを確認し、EC-CUBE はそのままで動く状態に戻します。
サーバー会社が PHP を修正済みなら、対応は不要ですか？
PHP2Shell の穴そのものは塞がりますが、3つの確認が残ります。修正がお使いの PHP のバージョンに本当に入っているか（古い PHP の修正済みビルドはバージョン番号が変わらず、サーバー会社によっては新しい PHP から順に対応しています）、修正前に攻撃されていないか（修正しても、仕掛けられた不正なファイルや改ざんは残ります）、EC-CUBE 自体に別の脆弱性がないか、です。
緊急対応パックは48時間で何をしますか？
① 今の PHP に修正が本当に入っているかの確認、② 未修正なら同じ系列の修正済みビルドへのパッチ適用（EC-CUBE はそのまま。入れ替えられない環境では暫定対策）、③ 修正前に攻撃されていないかの侵入痕跡の確認、④ EC-CUBE 本体の既知の脆弱性・プラグイン・設定のチェック、⑤ 報告書の作成です。48時間はアクセス情報をいただいてからの目安です。
サーバーのログイン情報はどうやって渡しますか？
お支払い後にお送りする専用ページ（URLを知っている方のみ開けるページ）のフォームからお送りください。メールやお申し込みフォームには書かないでください。作業完了後は、パスワードの変更や作業用アカウントの削除をお願いしています。
費用は経費にできますか？
はい。クレジットカードでお支払いいただくと、適格請求書（インボイス）に対応した領収書PDFが発行されます。
診断は本当に無料ですか？
期間限定・先着20社まで無料です（通常価格 110,000円・税込）。無料枠が終了している場合はプラグインの画面に価格が表示され、お支払い後に依頼できます。
どんな情報が送信されますか？
EC-CUBE本体のバージョン、PHPとデータベースの種類・バージョン、インストール済みプラグインの一覧とバージョン、商品数・受注数・会員数などの規模情報です。パスワード・APIキー・サーバーのパス・管理画面URL・顧客情報は送信しません。送信内容は依頼前に画面で確認できます。
結果はどこで受け取れますか？いつ届きますか？
EC-CUBEの管理画面内（セキュリティ診断メニュー）に届き、メールでも通知します。通常、依頼から数営業日でお届けします（PHP2Shell の該当判定は依頼直後に表示されます。お急ぎの場合は緊急対応パックをご利用ください）。診断結果・見積り・スケジュールはログイン不要の専用ページからも確認・共有できます。
見積りを頼んだら契約しないといけませんか？
いいえ。診断と見積りだけで終えていただいて構いません。お支払いは見積りに納得いただいた場合のみ、Stripeの決済ページから行えます（領収書PDFが発行されます）。
EC-CUBE 以外のサイト（WordPress など）も見てもらえますか？
はい。会社サイト・ブログ・WordPress などの CMS、PHP／Node.js のアプリは、姉妹サービス Patch48 で同じように48時間の緊急対応を行っています。
どのEC-CUBEバージョンに対応していますか？
EC-CUBE 3.0系、4.0／4.1系、4.2／4.3系用のプラグインがあります。EC-CUBE 2系をお使いの場合はお問い合わせフォームからご連絡ください。
制作会社です。クライアントのショップで使えますか？
使えます。クライアント様の管理画面にプラグインを入れて依頼いただけば、診断結果は同じ管理画面と専用ページに届きます。複数ショップのまとめてのご依頼はお問い合わせください。
診断するのはどんな会社ですか？
株式会社スパイシーファンです。EC-CUBE のサイト構築とプラグイン開発に10年以上携わってきたチームが、2系〜4系の内部構造とバージョン間の差異を踏まえて診断・対応します。
PHP2Shell、確認から対応まで48時間。
アクセス情報をいただいてから48時間以内に完了します。EC-CUBE に10年以上携わってきたチームが対応します。急ぎでなければ、無料の診断から始めることもできます。
緊急対応を申し込む