2026年10月は、ウェブのセキュリティにかかわる発表が続きました。弊社のサービスへの影響と対応をまとめてお知らせします。PHPの重大な脆弱性（通称 PHP2Shell）は、PHPを使っていない弊社のサービスには影響しません。eMudhraの中間CA証明書の秘密鍵が漏れた問題には、アプリを動かすNode.jsなどを10月21〜22日に更新して対応しました。Shopifyが10月20日にアプリ開発者へ呼びかけた8つの安全対策も、提供中の4アプリすべてで実施しています。
弊社のアプリをお使いのストアで、今回の件のために必要な作業はありません。eMudhraの件は、パソコンやスマートフォンのブラウザとOSを最新にしておくと安心です。
10月に何が起きた？
3つの話は別々の出来事ですが、同じ週に重なりました。日付の順に並べると次のとおりです。
- 10月17日
eMudhraの中間CAの秘密鍵の侵害が報告される
ブラウザやOSの各社に報告が届き、FirefoxとChromeが同じ日にこれらの証明書をブロックしました。
- 10月20日
Shopifyがアプリ開発者に安全対策を呼びかける
Shopifyの開発者フォーラムに、Shopifyのスタッフが8つの対策を今週中に行うよう求める投稿を出しました。同じ日にMicrosoftがeMudhraの証明書をブロックし、PHPは重大な修正版を翌日に出すと予告しました。
- 10月21日
PHPとNode.jsが修正版を公開する
PHPが2つの重大な脆弱性を直した修正版を出し、米国のCISAがすぐに更新するよう呼びかけました。Node.jsも同じ日にセキュリティ修正版を出しています。
- 10月22日
Apple製品でもブロックが始まる
Firefox・Chrome・Microsoftに続いて、AppleもeMudhraの問題の証明書をブロックしました。
- 10月23日
PHPが3つ目の問題を公表する
特殊な設定のアプリでだけ起きる問題で、PHPは臨時の修正版を出さず、次の定期リリースで直すとしています。
出典：We have a problem: eMudhra Intermediate CA Compromise
出典：Shopify Developer Community「Securing your app, together」
PHPの脆弱性「PHP2Shell」の影響は？
- PHP2Shell（CVE-2026-109618・CVE-2026-109619）
PHP本体に見つかった2つの脆弱性の通称です。ログインなどの認証がなくても、外から送り込まれたプログラムをサーバーの上で動かされるおそれがあります（リモートコード実行）。深刻度はどちらもCVSS v4.0で9.2です。
PHPは10月21日に修正版の 8.5.12・8.4.27・8.3.36・8.2.35 を出し、すべての利用者にすぐ更新するよう呼びかけました。公式の発表は、完全な回避策はなく、更新だけが安全な選択だと書いています。米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）も同じ日に、インターネットに面したシステムから優先して更新するよう求めました。CISAによると、公表の時点で攻撃の成功は確認されていません。
出典：PHP「Security advisory: Critical remote code execution vulnerabilities, update now」
出典：CISA「Critical Vulnerabilities in PHP Require Immediate Patching」
弊社のサービスは、どれもPHPを使っていません。
サーバーにPHPを入れていないので、今回の脆弱性の影響はありません。
| サービス | 動いている環境 | PHP |
|---|---|---|
| 会社のサイト（pepin.studio） | Next.js（Node.js） | 使っていない |
| まるっと予約 | Node.js | 使っていない |
| まるっと請求書 | Node.js | 使っていない |
| まるっと売上ランキング | Node.js | 使っていない |
| まるっと検索 | Node.js、検索エンジンはRust | 使っていない |
| COSMA | Next.js（Node.js） | 使っていない |
PHPで動くサイトをお持ちの方は、次の順で確かめてください。WordPressやEC-CUBEのようにPHPで動くソフトウェアは、ソフトウェアそのものに問題がなくても、下で動いているPHPの更新が必要です。
- 1
サーバーのPHPの版を確かめる
サーバーの管理画面か、契約しているサーバー会社のお知らせで確かめます。CISAは、ほかのソフトウェアに組み込まれたPHPも含めて洗い出すよう勧めています。 - 2
修正版に上げる
8.5.12・8.4.27・8.3.36・8.2.35 のいずれかです。サーバー会社が更新を済ませていることもあるので、まずお知らせを見てください。 - 3
8.1以前なら、上げるまで止めることも考える
サポートの切れた版には修正版が出ません。CISAは、すぐに更新できないシステムをいったんネットから外すよう勧めています。
eMudhraの中間CA証明書の問題とは？
- 中間CA証明書
ウェブサイトの証明書（アドレスバーの鍵マークの元）に署名する、認証局の証明書です。ブラウザは「ルート証明書 → 中間CA証明書 → サイトの証明書」の順に信頼をたどります。中間CAの秘密鍵を持っていれば、どのサイトの証明書でも作れてしまいます。
インドの認証局 eMudhra の中間CA証明書8つで、秘密鍵が証明書そのものから割り出せる状態になっていました。原因は、認証局が鍵を正しく作っていなかったことです。この鍵を手にした人は、どのウェブサイトにもなりすませます。
主なブラウザは10月17日から22日にかけて、これらの証明書をブロックしました。証明書の発行記録（Certificate Transparency）を確かめるFirefox・Chrome・Edge・Safariは攻撃を受けなかったとみられています。一方で、ブラウザ以外のソフトの多くは失効の情報を見ないため、ソフトそのものを更新する必要があります。サーバーで動くプログラムも、この「ブラウザ以外のソフト」に入ります。
出典：We have a problem: eMudhra中間CA証明書の秘密鍵の侵害（日本語版）
弊社は、サーバーの側で次の対応をしました。
弊社の対応（2026年10月25日時点）
- 10月21日：アプリとCOSMAのNode.jsを修正版に更新まるっと予約・まるっと検索は 24.22.1、まるっと請求書・まるっと売上ランキング・COSMAは 22.23.4 です。どちらもeMudhraの中間CAを信頼しない修正が入った版です。
- 10月22日：まるっと検索の検索エンジンの証明書まわりを更新Rustで書いた検索エンジンが証明書の検証に使う rustls-webpki と webpki-root-certs を、修正の入った版に上げました。動いている間に外へ通信する処理はありませんが、予防のための更新です。
- 10月25日：弊社の証明書がeMudhraの発行でないことを確認会社のサイト、4つのアプリ、COSMAのサーバー証明書は、すべてLet's Encryptの発行です。
出典：We have a problem: eMudhra Intermediate CA Compromise（修正済みの版の一覧）
Shopifyのストアの証明書も、eMudhraとは関係がありません。Shopifyは、ドメインに認証局の制限（CAAレコード）をかける場合に許可する認証局として letsencrypt.org・pki.goog・ssl.com の3つを案内していて、eMudhraは入っていません。証明書はShopifyに追加したすべてのドメインに無料で自動発行されるので、ストアの側で取り替える作業もありません。
出典：Shopifyヘルプセンター「Shopifyストアへの安全な接続を有効にする」
ご自分のパソコンやスマートフォンでは、ブラウザとOSを最新版にしてください。上の日本語版のページには、いま使っているブラウザが影響を受けるかを確かめる接続テストがあります。
Shopifyが求めた8つの対策とは？
10月20日、Shopifyの開発者フォーラムに、Shopifyのスタッフが「Securing your app, together」という投稿を出しました。AIで脆弱性が見つけやすくなり、アプリ全体を狙う攻撃が増えているとして、すべてのアプリ開発者に今週中に対策するよう求めたものです。弊社は、提供中の4アプリすべてで8項目を実施しています。
Shopifyが求めた8つの対策
- AI Toolkitのセキュリティチェックでアプリを確かめる認証のない入口、ほかのストアのデータに届く処理、検証していないWebhookなど、Shopifyのアプリに特有の弱点を探します。
- 期限つきのアクセストークンに移るトークンが漏れても、使える時間が短いので被害を小さくできます。公開アプリでは近く必須になります。
- 脆弱性スキャナーで、すべての入口が守られているか確かめる
- 画面に出すデータは、すべて信頼しないメタフィールドから来たデータも自社のサーバーから来たデータも、エスケープとサニタイズをしてから表示します。
- Dev DashboardでAPIのリクエストを見る不審な動きがないかを、送り元のIPアドレスで絞り込んで確かめます。
- アプリにかかわるアカウントをすべて2段階認証にするパートナーアカウント、ホスティング、CDN、コードの置き場所、メールが対象です。いらなくなった人のアクセス権は外します。
- 緊急連絡先を最新にするパートナーダッシュボードの緊急連絡先が、すぐ動ける人に届くようにします。
- Shopifyのセキュリティのベストプラクティスを読み、当てはめる
出典：Shopify Developer Community「Securing your app, together」
出典：Shopify Dev Docs「Migrate to expiring offline access tokens」
出典：Shopify Dev Docs「Following security best practices」
Shopifyは同じ投稿で、ストアフロントで動くアプリのコードの制限を強めること、APIキーを開発者のサーバーからしか使えないようにするIP制限、App Storeのセキュリティ要件の引き上げも予告しています。詳細と時期は変更の前に知らされるので、出しだい順に対応します。
セキュリティの面で、Shopifyは何が違う？
弊社はShopifyの構築・伴走支援も請け負っているので、Shopifyを勧める立場にあります。そのうえで、今回の件で見えた違いを、Shopifyが公開している情報の範囲で書きます。
いちばん大きな違いは、サーバーの更新を誰がするかです。自社でサーバーを持つ形のECサイトでは、今回のPHPのような修正版が出るたびに、運営する側が版を確かめて上げる必要があります。Shopifyでは、サーバーの運用とアップデートをShopifyが行います。
出典：Shopifyヘルプセンター「2段階認証でアカウントを保護する」
Shopifyでも、ストアの持ち主に残る仕事はあります。管理画面にログインするスタッフ全員の2段階認証、いらなくなったスタッフの権限の整理、そして入れるアプリの選び方です。Shopify自身が、アプリ全体を狙う攻撃が増えていると書いています。入れるアプリは、開発元が誰で、どこに問い合わせればよいかが分かるものを選んでください。
Shopifyが守る範囲とお店に残る対策は、別の記事で項目ごとにまとめています。
→ Shopifyのセキュリティは安全？守る範囲とお店に残る対策
よくある質問
必要ありません。アプリの側の対応は済んでいます。ストアの管理画面のログインに2段階認証を使っていない方は、この機会に設定しておくことをおすすめします。Shopifyペイメントで決済を受けている場合は、2段階認証が必須です。
ありません。Shopifyのストアは、サーバーの運用とアップデートをShopifyが行うので、ストアの持ち主がサーバーのソフトウェアを更新する場面がありません。PHPの更新が必要なのは、PHPで動くサイトを自社のサーバーやレンタルサーバーで運用している場合です。
ありません。ShopifyがCAAレコードで許可するよう案内している認証局は letsencrypt.org・pki.goog・ssl.com の3つで、eMudhraは入っていません。気をつけたいのは証明書を使う側で、パソコンやスマートフォンのブラウザとOSを最新にしておくことです。
できます。弊社の移行・リニューアルでは、商品・顧客・注文のデータの移行、旧URLからの転送、デザインとテーマの作り直しまでを担当します。初回のご相談は30分無料です。
お問い合わせからご連絡ください。内容を確かめて、弊社からご返信します。
まとめ
- PHPの重大な脆弱性（PHP2Shell）は、PHPを使っていない弊社のサービスには影響しない
- eMudhraの中間CA証明書の問題には、10月21〜22日にNode.jsと検索エンジンの証明書まわりを更新して対応した。弊社の証明書はすべてLet's Encryptの発行
- Shopifyが10月20日に求めたアプリの安全対策8項目を、提供中の4アプリすべてで実施している
- Shopifyでは、サーバーの運用とアップデートをShopifyが行い、すべてのストアがデフォルトでPCI DSSに準拠する
- それでも、スタッフの2段階認証とアプリの選び方は、ストアの持ち主に残る仕事
サーバーの更新に追われない運用は、Shopifyを選ぶ理由のひとつになります。PHPで動くECサイトの保守に手が回らない、Shopifyへの移行を考えている、という方は、まずはお気軽にご相談ください。
この記事は、Shopifyアプリ「まるっと」シリーズの開発者、大島慎平（SHIN）が書いています。
↑ 記事の先頭へ戻る
