クマひよ工房EC-CUBE 4.1〜4.3の二段階認証をすり抜けられる脆弱性（JVN#63765888）｜当てはまるかの確かめ方と修正
EC-CUBE 4.1.0から4.3.1には、管理者のIDとパスワードを知られていると、二段階認証をすり抜けて管理画面に入られる脆弱性があります。開発元から修正ファイルが出ています。
この記事では、自分のサイトが当てはまるかの確かめ方と、修正ファイルの当て方をまとめます。
何が起きたか
二段階認証は、管理画面にログインするときに、IDとパスワードに加えて、スマートフォンのアプリに表示される確認コードを求める仕組みです。EC-CUBEは4.1から、この機能を持っています。IDとパスワードを盗まれても、それだけでは管理画面に入られないようにするためのものです。
ところが4.1.0から4.3.1では、管理者のIDとパスワードを知った第三者が、二段階認証を求められずに管理画面へログインできてしまいます。開発元は2026年2月10日に告知と修正ファイルを出し、3月5日にJVN（日本の脆弱性情報のデータベース）でJVN#63765888（CVE-2026-30777）として公表されました。公表の時点で、被害の報告はありません。
開発元の評価は、3段階のうち「中」です。IDとパスワードを知られていることが前提のため、この脆弱性だけで管理画面に入られるわけではありませんが、二段階認証で防いでいるつもりの部分が働かないことになります。
自分のサイトが該当するか
まず、EC-CUBEのバージョンを確かめます。管理画面の「設定 > システム設定 > システム情報」に表示されます。
| 系列 | 当てはまるバージョン | 修正版 |
|---|---|---|
| 4.1系 | 4.1.0〜4.1.2-p4 | 4.1.2-p5 |
| 4.2系 | 4.2.0〜4.2.3-p1 | 4.2.3-p2 |
| 4.3系 | 4.3.0〜4.3.1 | 4.3.1-p1 |
表示が修正版かそれより新しければ、当てはまりません。4.0以前のEC-CUBEは二段階認証の機能を持っておらず、この発表の対象ではありません。ただし、古いバージョンには別の課題があるため、サポート終了への対応もあわせてご覧ください。
表示が当てはまるバージョンでも、すでに修正ファイルを当ててある場合があります。修正ファイルで上書きするのは2つのファイルだけで、システム情報に出るバージョンの表示は変わりません。サイトの保守を頼んでいる会社や、作業の記録で確かめます。
二段階認証を使っているかどうかにかかわらず、当てはまるバージョンであれば修正ファイルを当てておきます。これから二段階認証を有効にしたときに、すり抜けられないようにするためです。
今できること
修正ファイルを当てる
開発元の告知に、バージョンごとの修正ファイルと手順が載っています。流れは次のとおりです。
- 本番のサイトとは別の、開発用の環境で動作を確かめる
- EC-CUBEのファイル全体をバックアップする（メンテナンスモードに切り替えておくことが勧められています）
- 修正ファイルで、対象の2つのファイルを上書きする
- 管理画面の「コンテンツ管理 > キャッシュ管理」で、キャッシュを削除する
- お客さまの画面と管理画面で、ふだんの操作ができるかを確かめ、メンテナンスモードを解除する
上書きでよいのは、修正前の最新版（4.1.2-p4、4.2.3-p1、4.3.1）で、本体のファイルに手を加えていないサイトです。それより古いバージョンや、本体をカスタマイズしているサイトについて、開発元は、上書きではなく修正の差分を見て当てるよう案内しています。告知に載っている差分を見て、今のファイルに同じ変更を加えます。
あわせて見直すこと
- 管理者のパスワード - ほかのサービスと同じパスワードを使い回していないかを見直します。この脆弱性は、IDとパスワードを知られていることが前提です。
- 管理画面に入れる場所 - 「設定 > システム設定 > セキュリティ管理」の「IP制限」で、管理画面に入れるIPアドレスを、お店や作業をする場所のものだけに絞れます。
- パスワードを盗むメール - 管理者のIDとパスワードは、サーバ会社などをかたる詐欺メールで盗まれることがあります。見抜き方はEC-CUBEの管理者に届く詐欺メールにまとめています。
見覚えのないログインやアカウントがあったら
「設定 > システム設定 > ログイン履歴」と「メンバー管理」で、心当たりのないログインや、見覚えのない管理者のアカウントがないかを確かめられます。見つけたときは、削除する前にご相談ください。削除すると、調査の手がかりが消えてしまうことがあります。
相談先
当てはまるか分からないとき、カスタマイズがあって修正ファイルを当てられないときは、セキュリティの対応でご相談を承っています。EC-CUBEの更新を続けて見てほしい場合は、見守り契約をご覧ください。