EC-CUBEの脆弱性とは？リスクと悪用された事例、セキュリティ対策を解説

EC-CUBEは国内で広く普及しているオープンソースのECサイト構築システムです。利用者数の多さに加え、プラグインの追加や独自カスタマイズによる脆弱性が生じやすく、クレジットカード情報など価値の高いデータを扱うことから、攻撃者に狙われやすい傾向があります。
2024年のクレジットカード不正利用被害額は555億円と過去最高を更新し、約9割がカード番号の盗用によるものです。

出典：一般社団法人日本クレジット協会「クレジットカード不正利用被害の発生状況」（2025年3月公表）

この記事では、EC-CUBEに存在する主な脆弱性の種類と実際に悪用された事例を整理しながら、今日から取り組めるセキュリティ対策を解説します。

EC-CUBEが攻撃者に狙われやすい理由

EC-CUBEは、ソースコードが公開されているオープンソースソフトウェア（OSS）という性質上、脆弱性の分析や攻撃手法の研究がしやすい点も、狙われやすさに拍車をかけています。

加えて、長期間アップデートされていないサイトや、サポートが終了したプラグインを使い続けているケースも現場では珍しくありません。

実際に、IPA（情報処理推進機構）は、EC-CUBEを利用したECサイトの情報漏えい被害や脆弱性について、2019年に情報漏えい被害の増加、2021年にはクロスサイトスクリプティング（XSS）の脆弱性の注意喚起を公開しています。
IPAが複数回にわたって注意喚起を行っている背景には、こうした運用上の問題が根強く残っている現実があります。

EC-CUBEで脆弱性が発生する主な原因

EC-CUBEの脆弱性は、本体の不具合だけで発生するものではありません。EC-CUBE本体やプラグインのアップデート未実施、PHPやミドルウェアのサポート切れ、独自カスタマイズ時の実装不備、サーバー設定ミス、認証管理の不備など、複数の要因が重なることで発生します。

特に長期間メンテナンスされていない環境では既知の脆弱性が放置されるため、攻撃対象となるリスクが高まります。

EC-CUBEの診断で発見されやすい脆弱性の傾向

ネットde診断 ASMの検知データを分析した「GMOサイバー攻撃ネットde診断 ASM 脅威レポート（2025年第3四半期）」では、「サポートの終了したソフトウェアの利用」や「既知の脆弱性が存在するソフトウェアの利用」といったIT資産管理の不備が脅威カテゴリの上位にランクインしました。これはEC-CUBEを含む外部公開サイト全般に共通するリスクであり、日常運用の中でバージョン管理が後回しになりやすい実態を裏付けています。

EC-CUBEの主な脆弱性の種類

クロスサイトスクリプティング（XSS）

クロスサイトスクリプティング（XSS）は、入力フォームや管理画面に悪意あるスクリプトを埋め込み、閲覧者のブラウザ上で実行させる攻撃です。サニタイズ処理が不十分な箇所で発生しやすく、管理者セッションの乗っ取りや個人情報の窃取につながります。

SQLインジェクション

SQLインジェクションは、入力フォームなどから悪意のあるSQL文を送り込み、データベースを不正操作する攻撃です。顧客情報や注文データ、管理者アカウントの窃取・改ざん・削除につながる可能性があり、ECサイトにとって特に危険な脆弱性です。古いバージョンや独自カスタマイズ部分に潜在しやすい問題です。

フォームジャッキング

フォームジャッキングは、ECサイトの決済画面に不正なJavaScriptを埋め込み、利用者が入力したクレジットカード情報を攻撃者のサーバーへ送信する攻撃手法です。サイトの見た目や動作に大きな変化がないため利用者や運営者が異常に気付きにくく、長期間にわたってカード情報が漏えいする恐れがあります。
近年のECサイトにおける情報漏えい事故の主要な原因の一つです。

ディレクトリトラバーサル

ディレクトリトラバーサルとは、ファイル参照機能の不備を悪用し、「../」などの特殊な文字列を利用して、本来アクセス権限のないサーバー内のファイルを閲覧・取得する攻撃手法です。設定ファイルや認証情報、ソースコードが流出すると、さらなる不正アクセスの足がかりになります。

EC-CUBEの脆弱性が悪用された事例

IPAが注意喚起したクレジットカード情報漏えい

2019年、IPA（情報処理推進機構）は、EC-CUBEを利用した複数のECサイトにおいて、決済画面の改ざんによるクレジットカード情報漏えい被害が増加しているとして注意喚起を行いました。経済産業省によると、当時確認されていた漏えい件数は約14万件にのぼり、多くの利用者が被害を受けたとされています。この事例は、ECサイトにおける脆弱性対策やセキュリティ管理の重要性を示す代表的なケースとして知られています。

出典元：IPA「ECサイト構築で多く利用されている『EC-CUBE』を用いたウェブサイトでの情報漏えい被害の増加について」

XSS脆弱性を悪用したカード情報流出

2021年には、EC-CUBE 4.0系でクロスサイトスクリプティング（XSS）の脆弱性が悪用され、一部のECサイトでクレジットカード情報の流出が確認されました。XSSは利用者のブラウザ上で不正なスクリプトを実行させる攻撃であり、カード情報の窃取や管理者アカウントの乗っ取りなどにつながる恐れがあります。

EC-CUBE公式はこの問題を緊急度「高」の脆弱性として公表し、利用者に対して速やかなパッチ適用とバージョンアップを呼びかけました。

出典元：EC-CUBE公式「EC-CUBE 4系における緊急度『高』の脆弱性について」

EC-CUBEの脆弱性対策

EC-CUBE本体・プラグインを常に最新化する

EC-CUBEのセキュリティ対策で、まず手をつけるべきは本体とプラグインのアップデートです。脆弱性の情報が公開されると、攻撃者はその内容をもとに短期間で動き始めます。「そのうち対応しよう」と思っている間に、すでに狙われているケースも珍しくありません。修正パッチが出たら、なるべく早く適用することを習慣にしましょう。

あわせて、開発・サポートが終了したプラグインは脆弱性が放置されるリスクがあります。代替製品への移行や不要なプラグインの削除を定期的に見直しましょう。

• EC-CUBE公式のセキュリティ対策ページ
• EC-CUBE公式の脆弱性一覧ページ

管理画面のセキュリティ強化

管理画面は攻撃者が真っ先に狙う標的のひとつです。まずはデフォルトURLの変更と強固なパスワードの設定を行い、さらに二要素認証（2FA）を加えることで、不正ログインへの耐性を大きく高められます。さらにIP制限とログイン試行回数の上限設定を組み合わせることで、ブルートフォース攻撃を含む不正アクセスのリスクを大幅に低減できます。

WAF（Web Application Firewall）の導入

WAFは、Webアプリケーションへの通信を監視し、XSSやSQLインジェクションなどの攻撃をリアルタイムで検知・遮断するセキュリティ対策です。既知の攻撃パターンに対する防御手段として有効ですが、脆弱性そのものを解消するものではありません。そのため、EC-CUBE本体やプラグインのアップデート、脆弱性診断の実施と組み合わせ、多層防御の一環として運用することが重要です。

決済セキュリティの強化

ECサイトを運営する以上、取り組む価値が高いのが、カード情報を自社サーバーに保持しない「非保持化」です。決済代行サービスを活用することで、フォームジャッキングによる情報搾取や、万が一の漏えい時のダメージを大幅に抑えられます。「そもそも持たない」は、最もシンプルで強力なリスク低減策といえます。
ただし、非保持化だけでは十分ではありません。ファイル改ざん検知やログ監視ツールも組み合わせ、異常を早期に発見できる監視体制を整えておくことが重要です。

PHPおよびミドルウェアのバージョン管理

セキュリティ対策の話になると、EC-CUBE本体のアップデートに目が向きがちです。ただ、見落としやすいのがその土台となるミドルウェアの状態です。PHPやApache、nginxといったソフトウェアのバージョンが古いままでは、本体をいくら最新に保っても、足元に穴が開いている状態と変わりません。
サポートが終了したソフトウェアはセキュリティ更新が提供されないため、既知の脆弱性が放置されるリスクがあります。インフラ層まで含めたバージョン管理を定期的に見直す習慣を持っておきたいところです。

不要なファイル・テスト環境の削除

開発時に利用したサンプルファイルやテスト環境のサブドメインが公開されたままになっていると、攻撃者に発見されて侵入経路として悪用される可能性があります。定期的に公開資産の棚卸しを行い、不要なファイルや利用していない環境は速やかに削除する運用を徹底することが重要です。

EC-CUBEに脆弱性診断が必要な理由

アップデートやWAFだけでは発見できない脆弱性がある

EC-CUBEは本体やプラグインを最新化し、WAFを導入していても、すべての脆弱性を防げるわけではありません。特に、独自カスタマイズによる認可不備や業務ロジック上の欠陥、セッション管理の問題などは見落とされやすいポイントです。こうしたリスクを把握し、攻撃者視点で安全性を確認するためにも、定期的な脆弱性診断を実施しましょう。

関連記事：脆弱性診断(セキュリティ診断)とは？必要性など基礎から解説

個人情報・決済情報を扱うため被害が大きい

EC-CUBEを利用したECサイトでは、個人情報やクレジットカード情報など重要なデータを扱います。ひとたび脆弱性が悪用されると、情報漏えいや不正決済、サイト改ざんなどの被害につながる恐れがあります。企業の信用や売上にも大きな影響を及ぼすため、定期的な脆弱性診断でリスクを早期に洗い出す体制を整えておくべきです。 

継続的なセキュリティ対策が求められる

EC-CUBEでは、本体やプラグインの脆弱性が日々発見されるため、定期的なアップデートが欠かせません。また、プラグインの追加や独自カスタマイズによって新たなリスクが生じることもあります。安全な運用を維持するためには、脆弱性診断やセキュリティチェックを継続的に組み込んでいくことが求められます。

関連記事：ECサイトのセキュリティ対策をIPAガイドラインの要件を基に徹底解説

EC-CUBEに対して実施すべき診断の種類

EC-CUBEを安全に運用するためには、Webアプリケーション、サーバー・OS、ネットワークなど、それぞれの観点から診断を実施することが重要です。

診断種別	説明
Webアプリケーション診断	WebサイトやECサイトのアプリケーションを対象に、SQLインジェクションやXSSなどの脆弱性を調査する診断です。
プラットフォーム診断	サーバーやOS、ミドルウェアを対象に、設定不備や既知の脆弱性の有無を確認する診断です。
ネットワーク診断	ファイアウォールやルーターなどのネットワーク機器や通信経路を対象に、不正アクセスにつながる設定不備や脆弱性を調査する診断です。

これらを組み合わせることで、システム全体のリスクを網羅的に把握できます。
脆弱性診断は、実施方法によって発見できる問題や得られる結果が異なります。年1回以上の定期診断はもちろん、大規模改修やプラグイン追加のタイミングでも診断を行う習慣をつけておくと安心です。

ツール診断と専門家診断の使い分け

ツール診断は、既知の脆弱性や設定不備を効率的に検出できるため、日常的なセキュリティ監視に適しています。一方で、認可不備やビジネスロジック上の欠陥など、攻撃者の視点を踏まえた複雑な問題の発見は苦手です。
そのため、日常的な監視にはツールを活用しつつ、定期的な専門家診断を組み合わせることが重要です。両者を併用することで、より網羅的かつ効果的なセキュリティ対策を実現できます。

	>ツール診断	専門家診断
得意なこと	既知の脆弱性・設定不備の検出	認可不備・ビジネスロジック欠陥など複雑な問題の検出
頻度・運用	継続的な日常監視に適している	スポット実施（定期・改修時など）
コスト	低い	高い
網羅性	限定的	高い
向いている用途	常時監視・簡易チェック	深掘り診断・攻撃シナリオ検証

関連記事：脆弱性診断ツールの種類や選び方のポイント

EC-CUBEの脆弱性対策で重要なポイント

本体やプラグインの最新化、管理画面の強化、WAF導入、カード情報の非保持化といった基本対策は欠かせませんが、すべてのリスクをカバーできるわけではありません。独自カスタマイズの不備や管理漏れは、日常運用だけでは見えにくいのが実情です。
まずは現状のリスクを可視化し、優先度の高い課題から計画的に改善していくことが、安全なECサイト運営への第一歩です。
ECサイトを狙ったクレジットカード情報の漏えい事例や具体的な攻撃手法については、消費者庁・経済産業省が公表している注意喚起資料で詳しく紹介されています。

出典元：消費者庁「インターネットショップでのクレジットカード番号の漏えい・不正利用に注意しましょう」

ネットde診断 ASMでEC-CUBEの脆弱性を定期診断

GMOサイバー攻撃ネットde診断 ASMでは、EC-CUBE本体の既知の脆弱性のほか、SSL/TLS証明書の不備、サポートが終了したソフトウェアの利用、セキュリティヘッダの設定不備など、外部公開資産に潜むリスクを幅広く検出できます。

ドメインやIPアドレスを登録するだけで外部公開資産の棚卸しから脆弱性の検出・優先度評価までをツール上で完結でき、専任のセキュリティ担当者がいない環境でも運用しやすい設計になっています。