- 2026年10月に、小さな会社がよく使う国産の製品で公表されたこと
- 「悪用が確認された」が意味すること
- 更新の前に攻撃の痕跡を残す理由
- サポートが終わった版を使っている場合の考え方
- 外注先や保守会社に送る確認の文
結論
2026年10月、ネットショップや会社のサイトでよく使われる国産の製品で、「すでに悪用が確認された」脆弱性の公表が続きました。EC-CUBE 4系の AmazonPay プラグインと、Webサーバーを守る SiteGuard Server Edition です。同じ月には Movable Type でも深刻な脆弱性の修正が出ています。サイトの運用を外注している会社は、まず外注先や保守会社に「うちはこれを使っているか、対応は済んだか」を確かめてください。
2026年10月に公表されたこと
JVN・JPCERT/CC・IPA の発表から、主なものをまとめます。
| 製品（公表日） | 内容 | 悪用 |
|---|---|---|
| EC-CUBE 4系用 AmazonPay プラグイン（10/14） | 注文手続きの途中で、別のサイトへ移される（リダイレクト）おそれ | 開発者が攻撃を確認 |
| SiteGuard Server Edition（10/14） | サーバーの上で、最も強い権限で任意のコマンドを動かされるおそれ | 開発者が悪用を確認 |
| Movable Type（10/07） | 任意のプログラムや、データベースへの任意の命令を実行されるおそれ | IPAのページに記述なし |
AmazonPay プラグインは、決済サービスの Amazon Pay そのものではなく、EC-CUBE に組み込むプラグインの問題です。JVN は、移された先でアカウントの情報などを盗まれるおそれがあるとしています。対象は、V2プラグイン（4.0/4.1系）の v1.0.0〜v1.1.12、V2プラグイン（4.2/4.3系）の v4.2.0〜v4.3.1（同梱版の v4.3.1 を含む）、4.0系向けの AmazonPay プラグイン v1.3.0 以前です。対策は「開発者の情報に基づいてパッチを当てる」とされ、JVN のページには修正版の番号は書かれていません。具体的な手順は、EC-CUBE の開発元の告知で確かめます。
SiteGuard Server Edition は、初期設定で有効になっている「統計機能」が有効なときに影響を受けます。修正版は、Apache版・Nginx版・IIS版が Ver8.00 Update5、FreeBSD の Apache版・Nginx版が Ver7.00 Update6 です。更新が難しい利用者向けのパッチもあり、開発元はサポートが終わった版も対象としています。米国のCISAも、10月20日にこの脆弱性を「悪用が確認された脆弱性」の一覧（KEV）に加えました。
Movable Type は、CVE-2026-96408 が CVSS 9.4（緊急）、CVE-2026-103668 が 8.6（重要）です。修正版は 9.3.0・9.0.10・8.8.6・8.0.13、Movable Type Premium は 9.3.0・9.0.10・2.18 です。
対応の順番は、深刻さの点数よりも「悪用が確認されているか」を先に見て決めます。
「悪用が確認された」とはどういうことか
脆弱性の公表には、「こういう弱点が見つかった」という段階のものと、「すでに攻撃に使われている」と分かっているものがあります。後者は、攻撃する側がやり方を知っていて、実際に試している状態です。公表から対応までの間も、狙われ続けていると考えます。
AmazonPay プラグインの CVSS（深刻さの点数）は、v3 で 4.7、v4 で 5.3 です。点数だけを見ると高くありません。それでも攻撃が確認されている以上、お客様が注文の途中で偽のサイトに移される被害は現に起こりえます。点数よりも「悪用が確認されているか」を先に見て、対応の順番を決めます。
更新の前に、攻撃の痕跡を残す
SiteGuard Server Edition について、開発元は、更新やパッチによって攻撃の痕跡が消える可能性があるとしています。そのため、更新の前に、管理画面の［診断情報］から［診断情報をダウンロード］で情報を取って保管するよう求めています。JPCERT/CC も同じことを勧めています。
更新して穴をふさいでも、更新の前にすでに入り込まれていたかどうかは分かりません。痕跡を消してしまうと、あとで「何かされたか」を調べる手がかりがなくなります。保守会社に頼むときは、「更新してください」だけでなく、「更新の前に診断情報を取って残してください」と一言添えます。急いで止めたいときの回避策として、JPCERT/CC は統計機能を無効にする方法も挙げています。手順は開発元の情報に従います。
サポートが終わった版を使っているとき
Movable Type について、IPA は、サポートが終わった 8.4系、7系とそれ以前、Movable Type Premium 1系も影響を受けるとしています。修正版の一覧にこれらの系列はありません。更新できない場合の回避策として、一部のファイルを削除するか実行できなくする方法、設定で機能を制限する方法が示されています。
回避策は、修正版に移るまでのつなぎです。例えば、10年前に作った会社のサイトを古い版のまま動かしているなら、今回の回避策を当てたうえで、サポートのある版へ移す日程を外注先と決めます。作り直しの費用がかかる場合は、今後の公表のたびに同じ判断をくり返すことになる点も、比べる材料に入れます。
外注先や保守会社に確かめること
使っている製品や版は、作った人や運用している人でないと正確には分かりません。例えば、次の5つを聞けば、対応が要るかどうかの見当がつきます。
確認リスト
- 自社のサイトやネットショップで、EC-CUBE の AmazonPay プラグイン、SiteGuard Server Edition、Movable Type のどれかを使っているか
- 使っている場合、10月の修正版やパッチを当てたか（予定なら、いつか）
- SiteGuard を使っている場合、更新の前に診断情報を取って保管したか
- サポートが終わった版を使っていないか。使っているなら、移す時期の案はあるか
- 今回のような公表があったとき、誰が気づいて、いつ知らせてもらえる契約になっているか
メールやチャットで送るときは、次の文をそのまま使えます。
いつもお世話になっております。
10月に、EC-CUBE の AmazonPay プラグイン、SiteGuard Server Edition、Movable Type で脆弱性が公表されました。前の2つは悪用が確認されているそうです。
弊社のサイト・ネットショップで、これらを使っているかを教えてください。
使っている場合は、修正版やパッチを当てたか、まだなら予定の日を教えてください。
SiteGuard の場合は、更新の前に「診断情報」を取って残していただけますか。
サポートが終わった版を使っている場合は、今後の進め方もご相談させてください。
契約の範囲で難しいことがあれば、その旨もお知らせください。注意点
外注先から「うちは使っていません」と返ってきても、それで終わりにはしません。プラグインや部品は、制作のときに入れたまま担当者が替わっていることもあります。分からない場合は「確かめてから返事をください」と頼み、返事の期日を決めておきます。
また、ここで挙げたのは2026年10月の公表のうち、小さな会社が使っていそうなものだけです。今後も追加の情報や修正が出ることがあります。正確な対象や手順は、JVN・JPCERT/CC・IPA と各開発元の最新の情報で確かめてください。
まとめ
- 2026年10月、EC-CUBE の AmazonPay プラグインと SiteGuard Server Edition で、悪用が確認された脆弱性が公表されました。
- 対応の順番は、点数よりも「悪用が確認されているか」を先に見て決めます。
- SiteGuard は、更新の前に診断情報を取って残します。
- サポートが終わった版は、回避策でつなぎつつ、移す時期を決めます。
今日、まず確認すること
サイトの外注先か保守会社に、上の確認の文を1通送ってください。