要点
発表された事実
- イーシーキューブは2026年10月14日、EC-CUBE公式のAmazonPayプラグインに緊急度「高」の脆弱性が見つかったと公表した。危険度「高」の理由として「不正管理者アカウントが登録でき、管理画面にログインできるため」と書いている（イーシーキューブ）。
- JVNは同日、この脆弱性を「不変と想定しているWebパラメータの外部制御」（CWE-472、CVE-2026-103671）として公開し、想定される影響を「注文手続き中に任意のウェブサイトにリダイレクトされる可能性があります。その結果、アカウント情報などを窃取される可能性があります」とした。CVSS基本値はv3.0で4.7、v4.0で5.3（JVN#43511918）。
- 開発者によると、本脆弱性を悪用した攻撃がすでに確認されている（同）。
- クラウド版の「EC-CUBE」（ec-cube.co）はすでに修正済み（イーシーキューブ）。
影響バージョン
- CV2対応版：Amazon Pay V2プラグイン（4.2/4.3系）v4.3.1以前（v4.2.0〜v4.2.2、v4.2.3〜v4.3.1、バンドル版のv4.3.1）、Amazon Pay V2プラグイン（4.0/4.1系）v1.1.12以前（v1.0.0〜v1.1.6、v1.1.7〜v1.1.12）。
- CV1対応版：Amazon Payプラグイン（4.0系）v1.3.0以前。
- 修正は最新版へのアップデートで行う。CV1版のv1.2.9以前は最新版（v1.3.1）にバージョンアップできないため、CV2版への移行が強く推奨されている。
今すぐやること
- EC-CUBE 4系のサイトで、AmazonPayプラグイン（バンドル版を含む）の有無とバージョンを確認し、対象なら最新版へ更新する。CV1版v1.2.9以前ならCV2版へ移行する。
- （考察）開発元が「不正管理者アカウントが登録でき」と書いている以上、更新とあわせて、管理画面のメンバー（管理者）一覧に見覚えのないアカウントがないか、管理画面へのログイン履歴に不審なものがないかを確認する。
わかっていないこと
- JVNの「リダイレクト」と、イーシーキューブの「不正管理者アカウントの登録」がどうつながるのか（技術的な詳細は公開ページでは説明されていない）
- 悪用がいつから、何件のサイトで確認されたか
- 不正な管理者アカウントを作られた場合に、管理画面で何が行われたか（決済画面の改ざんやカード情報の窃取につながった例があるか）
- 修正版の各バージョン番号（公開のお知らせはCV1版のv1.3.1のみ明記。詳細ページはEC-CUBEメンバーのログインが必要）
- 侵害を確認するための痕跡（ログに残るパラメーターなど）の公開予定
関係しそうな既知の手口
- （考察）ECサイトの管理画面を奪われると、商品ページや決済に関わる画面を書き換えて、来訪者の入力したカード情報を外へ送らせる、いわゆるWebスキミングに使われうる。本件で実際にそうした被害が出たかは公表されていないが、管理者アカウントの登録まで届く欠陥を「リダイレクト」の深刻度（CVSS 4.7）で見積もると、対応の優先度を誤る。
概要
- EC-CUBE 4系の公式AmazonPayプラグインに、悪用が確認された脆弱性があり、最新版への更新が呼びかけられている。
- JVNの説明とCVSS（4.7）は「注文中に偽サイトへ飛ばされる」という中程度の問題に読めるが、開発元は「不正な管理者アカウントを登録して管理画面にログインできる」として危険度を「高」にしている。
- 運用者は、更新とあわせて、管理者アカウントとログイン履歴の点検までやっておきたい。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 不明 | 本脆弱性を悪用した攻撃が確認される（JVN、開発者による。時期は未公表） |
| 2026-10-14（水） | イーシーキューブが「【重要】EC-CUBE公式AmazonPayプラグインにおける脆弱性のお知らせ」を公開。危険度「高」（イーシーキューブ） |
| 2026-10-14（水）17:00 | JVNがJVN#43511918を公開（JPCERT/CCのJVN新着一覧）。開発者がJPCERT/CCに報告し、JPCERT/CCが調整（JVN） |
| 2026-10-15（木） | お知らせからリンクされた修正の詳細ページを開くと、EC-CUBEメンバーのログイン画面に転送される（筆者確認） |
発表内容の整理
事実（イーシーキューブ・JVN）
| 項目 | イーシーキューブのお知らせ | JVN |
|---|---|---|
| 脆弱性の種類 | 記載なし | 不変と想定しているWebパラメータの外部制御（CWE-472） |
| 深刻度 | 危険度「高」 | CVSS v3.0 4.7（AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:L/A:N）、v4.0 5.3 |
| 影響の説明 | 不正管理者アカウントが登録でき、管理画面にログインできる | 注文手続き中に任意のサイトへリダイレクトされ、アカウント情報などを窃取される可能性 |
| 悪用 | 記載なし | 開発者によると、悪用した攻撃がすでに確認されている |
| 対策 | 最新版へのアップデート。CV1版v1.2.9以前はCV2版へ移行。ec-cube.coは修正済み | 開発者が提供する情報をもとにパッチを適用 |
- JVNは、この脆弱性情報を「製品利用者への周知を目的に、開発者がJPCERT/CCに報告し、JPCERT/CCが開発者との調整を行いました」としている。
- イーシーキューブは、自社サイトの脆弱性リストで、2026年3月4日に「EC-CUBE 4.1/4.2/4.3におけるMFAバイパスが可能な脆弱性（JVN#63765888）」（危険度「中」）を公開している（EC-CUBE 脆弱性リスト）。
考察
2つの説明は、同じ脆弱性について見ている場所が違う。JVNとCVSSは、利用者（買い物客）が注文中に別のサイトへ飛ばされる、という一点で評価しており、利用者の操作が必要（UI:R）で、改ざんの影響は「低」となっている。一方、開発元は「不正管理者アカウントが登録でき」と、店舗側の管理画面が奪われる結果まで書いている。管理者アカウントを作られれば、商品・顧客・注文のデータや、サイトの表示そのものを変えられる立場に立たれる。運用者が優先度を決めるときに見るべきなのは、後者だろう（考察）。
この2つがどうつながるのかは、公開されている情報では説明されていない。「不変と想定しているWebパラメータ」、つまり本来は利用者が変えないはずの値を書き換えられる欠陥であることまではわかるが、その値がリダイレクト先だけなのか、注文処理の中で別の操作にもつながるのかはわからない（考察）。修正の詳細ページはEC-CUBEのメンバー登録とログインが必要で、筆者は中身を確認できていない。
「バンドル版」が対象に入っている点も見落とせない。4.2/4.3系ではAmazon Pay V2プラグインのv4.3.1がバンドル版として明記されており、自分で追加した覚えがなくても、配布物に含まれる形で入っている可能性がある（考察）。プラグイン一覧を確認するときは、自分で入れたものだけでなく、同梱されているものも見たい。
関係しそうな既知の手口
事実（既知の知見）
- EC-CUBE本体では、2026年3月に管理画面の多要素認証を回避できる脆弱性（JVN#63765888、4.1.0〜4.3.1）が公開されている（EC-CUBE 脆弱性リスト）。
- 国内で相次ぐ不正アクセスについて、JPCERT/CCは10月8日の注意喚起で、既知の脆弱性の探索や、画面操作では実行できない内部APIへの攻撃（ユーザー権限の変更、不正なアカウントの作成など）を示した（JPCERT/CC、注意喚起の整理記事）。
考察
- 決済まわりのプラグインは、表から見えにくい入口になる：決済プラグインは、注文の途中で外部の決済サービスとやり取りし、戻ってきた値を受け取る。外部とのやり取りのために受け付けるパラメーターは、通常の画面よりも検証が甘くなりやすい。本件の「不変と想定しているWebパラメータ」も、その種類の欠陥と読める。
- 管理者アカウントの追加は、更新では消えない：プラグインを最新版にすれば今後の悪用は防げるが、すでに作られた管理者アカウントや、管理画面から書き換えられた設定・テンプレートは残る。悪用が確認されている以上、更新だけで終わりにしない。
利用者・運用者がいまできること
事実（発表に基づく）
- EC-CUBE 4系のサイトで、AmazonPayプラグインのバージョンを確認する。Amazon Pay V2プラグイン（4.2/4.3系）v4.3.1以前（バンドル版を含む）、同（4.0/4.1系）v1.1.12以前、Amazon Payプラグイン（4.0系）v1.3.0以前は対象。
- 最新版へアップデートする。CV1版のv1.2.9以前は最新版のv1.3.1に上げられないため、CV2版へ移行する。
- クラウド版のec-cube.coを使っている場合は、修正済みとされている。
考察（運用者向け）
- 管理画面のメンバー（管理者）一覧で、作った覚えのないアカウント、最近追加・権限変更されたアカウントがないかを確認する。見つかった場合は削除する前に、作成日時やログイン履歴を記録しておく。
- 管理画面へのアクセスをIPアドレスなどで制限し、二段階認証を有効にする。イーシーキューブも、管理画面へのアクセス制限やログイン2段階認証をセキュリティ強化機能として挙げている（EC-CUBE セキュリティ対策）。
- 決済ページや注文完了ページ、テンプレート、JavaScriptファイルに、見覚えのない変更や外部への送信処理が加えられていないかを確認する。
- 制作会社や保守会社に運用を任せている場合は、プラグインの版と更新予定、管理者アカウントの点検結果を確認する。
考察（利用者向け）
- 注文の途中で、ふだんと違うドメインのページに移ってログインやカード情報の入力を求められたら、入力せずに閉じる。Amazon Payで支払う場合も、Amazonのログイン画面がAmazonの正規ドメインかどうかをアドレスバーで確かめる。
参考リンク
- 【重要】EC-CUBE公式AmazonPayプラグインにおける脆弱性のお知らせ（2026/10/14）（イーシーキューブ）
- JVN#43511918: EC-CUBE4系用プラグイン「AmazonPayプラグイン」における不変と想定しているWebパラメータの外部制御の脆弱性（JVN、2026-10-14）
- JVNDB-2026-000150（JVN iPedia）
- 「EC-CUBE」の公式決済プラグインに緊急脆弱性 - すでに悪用も（Security NEXT、2026-10-14）
- EC-CUBE 脆弱性リスト（イーシーキューブ）
- セキュリティ対策について（イーシーキューブ）
- 直近で相次いでいる国内組織における不正アクセスに関する注意喚起（JPCERT/CC、2026-10-08公開・10-09更新）