JVNは2026年10月14日、株式会社イーシーキューブが提供するEC-CUBE4系用の「AmazonPayプラグイン」の脆弱性情報を公開しました。注文手続き中に利用者が任意のウェブサイトへ転送され、アカウント情報などを盗まれる恐れがあります。開発者は既に悪用した攻撃を確認しており、対象サイトでは導入済みの版の確認とパッチ適用を優先して進める必要があります。
注文中の転送先に関わる問題、悪用を確認済み
脆弱性の識別番号は「CVE-2026-103671」です。本来は変わらないと想定しているWebパラメータを、外部から制御できる問題です。Webパラメータは、ウェブ上の処理に渡す値を指します。脆弱性の分類はCWE-472です。
JVNによると、この問題によって注文手続き中に任意のウェブサイトへ転送される恐れがあります。その結果、アカウント情報などを盗まれる可能性があります。利用者が購入を進める場面に関わるため、情シスだけでなく、EC運営担当者にも共有すべき内容です。
深刻度を示す共通の指標であるCVSSの基本値は、v4.0で5.3、v3.0で4.7です。ただし、対応の優先順位は点数だけで決めず、攻撃が既に確認されていることも踏まえて判断してください。なお、攻撃の確認と、自社サイトで被害が起きたかどうかは分けて確認する必要があります。
EC-CUBE本体とプラグインの版を分けて確認
今回の対象はEC-CUBE4系用のプラグインです。「EC-CUBE4系を使っている」という情報だけでは、対象かどうかを判断できません。プラグイン名、対応するEC-CUBEの系統、プラグイン自体のバージョンを照合します。
JVNが示す影響対象は次のとおりです。
- AmazonPay V2プラグイン(4.0/4.1系)：v1.0.0からv1.1.6、およびv1.1.7からv1.1.12
- AmazonPay V2プラグイン(4.2/4.3系)：v4.2.0からv4.2.2、およびv4.2.3からv4.3.1
- AmazonPay V2プラグイン(4.2/4.3系)：v4.3.1(バンドル版)
- AmazonPayプラグイン(4.0系)：v1.3.0およびそれ以前
バンドル版のv4.3.1も対象に含まれます。個別に追加したプラグインだけを調べて、確認を終えないようにしてください。JVNは、開発者が提供する情報に基づくパッチ適用を呼び掛けています。
影響する会社・しない会社
- 影響する: 上記のAmazonPay V2プラグイン、またはAmazonPayプラグインの対象バージョンを使うECサイト運営会社です。サイト運用を委託している場合も、委託先に導入状況を確認してください。
- 影響する: AmazonPay V2プラグイン(4.2/4.3系)のv4.3.1をバンドル版で使っている会社も、確認対象です。
- 影響しない: 対象プラグインを導入していない会社は、今回示された影響対象には当たりません。Amazon Payという決済サービス名だけで、自社が対象だと判断する必要はありません。
- 要確認: 対象一覧にない版や、版が不明なサイトは、非影響と判断せず、開発者の情報や保守委託先への照会で確認してください。
情シスが今日やること
- まず、サイトごとの導入状況を確認します。 ECサイトの管理画面でプラグイン情報を確認できる箇所、または保守台帳を調べ、製品名とバージョンを記録してください。具体的な管理画面のメニュー名は発表には書かれていません。不明なら運用担当者や保守委託先に照会します。
- 対象版が見つかったら、EC運営責任者と保守委託先に共有します。 「CVE-2026-103671」「対象のサイトと版」「悪用確認済み」の3点を伝え、パッチ適用の担当者と実施予定を決めてください。具体的な適用期限は、今回の資料には書かれていません。
- 開発者の提供情報でパッチの適用方法を確認します。 本記事の対象一覧だけで作業方法を決めず、自社のプラグインに対応する手順を確認してください。作業前に、注文手続きの確認を誰が担当するかも決めます。
- 適用後は作業結果と注文手続きを確認します。 保守委託先には、パッチ適用の結果と確認内容の報告を依頼してください。EC運営担当者と注文手続きの動作を確認し、未対応のサイトや確認できていない項目を残して管理します。
