EC-CUBEのAmazon Payプラグインに、注文中に不正サイトへ誘導されるおそれ（CVE-2026-103671）
ひとことで言うと：EC-CUBE4系で公式の「AmazonPayプラグイン」を使っているネットショップは、プラグインのバージョンを確認する必要があります。深刻度の点数そのものは「中」程度ですが、開発元は既に悪用された事例を確認していると公表しています。このプラグインは、レジ（ネットショップ）と提携決済端末（Amazon Pay）をつなぐ「配線」のような役割を持っていますが、今回はその配線に不具合があり、お客さまが会計を済ませようとしている途中で、知らないうちに別の窓口へつながれてしまうおそれがあります。
何が起きたか
2026年10月14日、国内の脆弱性情報サイト JVN（JVN#43511918）で、ネットショップ構築システム「EC-CUBE」4系の公式プラグイン「AmazonPayプラグイン」に関する不具合が公表されました。この不具合には「CVE-2026-103671」という管理番号がついています。
この不具合は「本来は変わらないはずのWebパラメータが、外部から書き換えられてしまう」という種類のものです。そのせいで、お客さまが注文手続きをしている最中に、本来とは違う任意のサイトへ転送（リダイレクト）されてしまうおそれがあります。転送先の偽サイトでアカウント情報などの入力をさせられ、情報を盗まれる可能性があります。たとえるなら、レジと決済端末をつなぐ配線の途中に何者かが細工をして、会計のボタンを押した瞬間、お客さまだけ分からないうちに本物とは違う窓口（偽サイト）へ案内されてしまうようなものです。
深刻さを表す点数（CVSS）は、バージョン4.0の基準で 5.3（中程度）です。点数だけを見ると緊急度は高くありませんが、開発元のEC-CUBE社は「本脆弱性を悪用した攻撃が既に確認されています」と公表しています。実際に悪用されているという点が、この不具合でいちばん注意すべきポイントです。
誰に関係するか
次の条件にすべて当てはまるサイトが対象です。
- ネットショップが EC-CUBE4系（4.0〜4.3）で作られている
- Amazon Pay による決済を、公式の「AmazonPayプラグイン」で提供している
- プラグインのバージョンが、開発元の案内する対象範囲に入っている（CV1版は 1.3.0 以前、CV2版は系統ごとに対象範囲が分かれています）
Amazon Pay を使っていない、クレジットカード決済のみのEC-CUBEサイトは対象外です。また、EC-CUBE 2系・3系もこの不具合の対象ではありません（別の時期に別の不具合が公表されています）。対象のプラグインを使っているかどうかは、サイト内からは分かりにくいことが多いため、制作会社・管理会社に確認してもらいましょう。
何をすべきか
1. 管理会社に確認する
「AmazonPayプラグインを使っているか」「使っている場合、そのバージョンはいくつか」を、サイトを作った会社や管理会社に確認してもらいましょう。HEIMVAIL の無料チェックで作れる「保守会社に渡せる依頼文」も使えます。
2. 対象なら修正版へ更新する
対象だった場合は、EC-CUBE公式の告知ページで案内されている修正版への更新を依頼してください。正確な修正版のバージョン番号は、開発元の告知が最新です。
3. すでに被害が出ていないか確認する
すでに悪用が確認されている不具合なので、更新だけでなく「注文時に見慣れないサイトへ転送された」というお客さまからの問い合わせがなかったか、注文ログに不自然な動きがないかも、あわせて管理会社に確認してもらうと安心です。配線（プラグイン）が正しくつながっているかを更新で直すだけでなく、すでに迷子になったお客さまがいないかも併せて確認する、という2段構えの対応が必要です。
よくある質問
自分のサイトは影響を受けますか？
EC-CUBE4系で、公式の「AmazonPayプラグイン」を使って Amazon Pay 決済を提供している場合に影響を受けるおそれがあります。使っていない、またはクレジットカード決済のみのサイトは対象外です。使っているかどうかは制作会社・管理会社に確認してください。
深刻度は「中」なのに、なぜ注意が必要なのですか？
点数（CVSS）だけを見ると緊急ではありませんが、開発元は「この脆弱性を悪用した攻撃を既に確認している」と公表しています。実際に攻撃が観測されている場合は、点数の高さにかかわらず対応を急ぐべきサインです。くわしくは教材「脆弱性ニュースの読み方」でも説明しています。
何をすればいいですか？
AmazonPayプラグインを使っているか、使っているバージョンが対象範囲に入っているかを管理会社に確認してもらい、対象であれば開発元の修正版への更新を依頼してください。注文時に見慣れないリダイレクトがなかったか、ログの確認も依頼しましょう。
参考にした公開情報
この記事は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものです。正確な修正版のバージョン番号など最新の詳細は、必ず開発元の告知ページでご確認ください。個別のサイトの安全を保証するものではありません。