クマひよ工房コラム
EC-CUBEを運営する方に向けて、脆弱性やサポート終了の情報、EC-CUBEの基礎知識をお届けします。
記事の一覧
-
必須項目が空のまま注文が入ったEC-CUBEのサイトで、何が起きていたか｜止められたままの「合言葉」
入力必須のはずの郵便番号と電話番号が空のまま会員登録され、購入まで行われたEC-CUBEのサイトを調べました。原因は、何年も前に止められたままの確認の仕組みでした。運営者が今日からできることをまとめます。
-
EC-CUBEのサイトが改ざんされたとき、何が起きていたか｜通報から封じ込めまでの記録
外部の機関から改ざんの通報を受けたEC-CUBEのサイトで、何が仕込まれ、どうやって管理画面が乗っ取られたのかを記録からたどりました。通報を受けたときにすることと、ふだんの備えをまとめます。
-
同じ脆弱性でも、PHPのバージョンで対応はこれだけ違う｜8.3・7.4・5.6のサーバで対応した記録
2026年10月21日に公表されたPHPの脆弱性に、PHPの8.3、7.4、5.6の3台のサーバで対応しました。修正版が出るかどうかで、作業の中身と時間がどれだけ変わったかと、対応してわかったことをまとめます。
-
PHPのセキュリティ更新（2026年10月21日）｜EC-CUBEのサイトが当てはまるかと、今できること
PHPの2件の脆弱性（CVE-2026-109618、CVE-2026-109619）を直した修正版が、2026年10月21日に出ました。EC-CUBEのサイトが当てはまるかの確かめ方と、サーバの種類ごとに今できることをまとめます。
-
EC-CUBEの注文メールがGmailに届かないとき｜送信者に求められる認証（SPF、DKIM、DMARC）
Gmailは送信者にドメインの認証を求めています。EC-CUBEの注文メールや会員登録のメールが届かない、迷惑メールに入るときに確かめる送信元の設定と、SPF、DKIM、DMARCの設定をまとめます。
-
EC-CUBEの管理者に届く詐欺メール｜見抜くポイントと、盗まれても管理画面に入られない設定
サーバ会社やドメインの会社をかたって、EC-CUBEの管理者のIDとパスワードを盗む詐欺メールの見抜き方と、盗まれても管理画面に入られないための二段階認証やIPの制限をまとめます。
-
EC-CUBEの検索機能｜標準の商品検索が照合する範囲と、カスタマイズが必要になる範囲
EC-CUBE用プラグインの作者が、4系の標準商品検索が照合する項目（商品名・検索ワード・商品コード）と、検索ワード欄で対応できる範囲、カスタマイズが必要になる範囲を解説します。
-
EC-CUBEのSEO対策｜標準で出力されるもの、プラグインで足りる範囲、カスタマイズが必要な範囲
EC-CUBE用SEO対策プラグインの作者が、EC-CUBE 4系の標準テンプレートが出力するSEO要素と、プラグインで補える範囲・本体のカスタマイズが必要になる範囲を解説します。
-
EC-CUBE運用におけるSSH authorized_keysファイルのセキュリティ対策
EC-CUBEを運用するサーバで、authorized_keysに見覚えのない公開鍵が追加されていた調査の経験から、ファイル権限の設定、変更の監視、改ざんされていたときの対応手順をまとめます。
-
PHP-CGIの脆弱性（CVE-2024-4577）｜Windowsで動くEC-CUBEが当てはまるかの確かめ方
Windows版のPHPをCGIで動かすサーバで任意のコードを実行される脆弱性（CVE-2024-4577）について、EC-CUBEのサイトが当てはまるかの確かめ方と、修正版への更新などの対策をまとめます。